GUIDE RGPD

À DESTINATION DES
CRÉATEURS, DÉVELOPPEURS
ET ÉDITEURS DE JEUX VIDÉO
EN FRANCE

Guide réalisé par

1
Le Règlement général pour la protection des données (RGPD) constitue le texte de référence en matière
de protection des données personnelles au sein de l’Union Européenne. Les principaux objectifs du
RGPD sont d'accroître à la fois la protection des personnes concernées par un traitement de leurs
données à caractère personnel et la responsabilisation des acteurs de ce traitement.

■ L’adoption du RGPD

•Proposition de règlement européen sur la protection des

données personnelles présentée par la Comissaire européenne
25 janvier à la justice
2012

•Adoption de la proposition modifiée par le Parlement européen et

poursuite des négociations en trilogue (Commission européenne,
12 mars Parlement européen et Conseil de l'UE)
2014

•Adoption du texte final.

14 avril
2016

•Promulagation du Règlement
27 avril
2016

•Le Règlement général pour les Protection des Données

25 mai (RGPD) est applicable dans tous les Etats membres de l'UE
2018

2
■ La loi Informatique et Libertés
Depuis le 1er juin 2019, la loi du 6 janvier 1978, dite « Informatique et Libertés », est en vigueur dans une
nouvelle rédaction. Elle comporte notamment les dispositions relatives aux « marges de
manœuvre nationales » autorisées par le RGPD que le législateur a choisi d’exercer ainsi que les mesures
de transposition en droit français de la Directive « police-justice ».

■ La Commission Nationale Informatique et Libertés (CNIL)

Créée en 1978 par la loi Informatique et Libertés, la CNIL est une autorité administrative indépendante,
composée d’un Collège de 18 membres et d’une équipe d’agents contractuels de l’État.

Elle a lancé des consultations sur plusieurs sujets du RGPD et on peut trouver sur son site ([Link])
de nombreux outils (mise en conformité, MOOC d’initiation au RGPD, guides et modèles … etc.)

■ Le « Comité Européen de la Protection des Données » (CEPD)

Le CEPD est institué par le RGPD (articles 68 à 76 du RGPD). Il a pris la suite du groupe de l’article 29
(le G29), qui était l’enceinte informelle d’échanges et d’élaboration de doctrine sur les questions de
protection des données à caractère personnel au sein de l’UE.

Le CEPD a publié des lignes directrices, des recommandations et des guides de bonnes pratiques.

3
 ORGANISATION DU GUIDE
Partie 1 : Présentation générale du RGPD
Fiche n°1 : Le champ d’application du règlement 6
Fiche n°2 : Le principe d’Accountability 9
Fiche n°3 : Le Data Protection Officer (DPO) 11
Fiche n°4 : Les relations du Responsable de traitement avec le Responsable conjoint et le
Sous-traitant 13
Fiche n°5 Les Autorités de contrôle et sanctions 16
Partie 2 : Les obligations à l’égard des personnes
Fiche n°6 : Les principes devant gouverner les traitements 22
Fiche n°7 : Le recueil du consentement 25
Fiche n°8 : Les catégories particulières de données 29
Fiche n°9 : Les droits des personnes 32
Fiche n°10 : Le transfert de données hors Union Européenne 37
Partie 3 : Les mesures à prendre au sein de l’organisme traitant des
données personnelles
Fiche n°11 : La politique et documentation données personnelles 42
Fiche n°12 : Les Études d’Impact sur la Protection des Données (AIPD) 45
Fiche n°13 : Le registre des traitements 50
Fiche n°14 : La sécurité des données 52
Fiche n°15 : Les mesures organisationnelles 57

4
PARTIE 1

Présentation
générale du
RGPD

5
FICHE

Cadre juridique

RGPD

Principe Notions clefs

Le Règlement Général sur la
Protection des Données
personnelles (RGPD) a
■ Donnée à caractère personnel ou « donnée personnelle »
vocation à s’appliquer à tous « toute information se rapportant à une personne physique identifiée ou
les responsables de identifiable » (Art 4.1 RGPD)
traitements de données
personnelles basés au sein Il s’agit d’une définition large qui comprend les données permettant
de l’Union Européenne (UE) d’identifier directement une personne ou indirectement par leur
qui réalisent des traitements recoupement (ex : données de géolocalisation et identifiant sur une
de données en UE, ainsi qu’à application GPS)
leurs sous-traitants (Art. 2 et 3 Exemples de données personnelles : adresse IP, numéro de téléphone,
du RGPD). numéro d’identification, adresse mail …

■ Traitement
Mise en œuvre « toute opération ou tout ensemble d’opérations effectuées ou non à
l’aide de procédés automatisés et appliqués à des données ou des
Les définitions de traitement ensembles de données à caractère personnel, telle que la collecte,
et de données personnelles l’enregistrement, l’organisation, la structuration, la conservation (…)
étant larges, le RGPD
l’effacement ou la destruction » (Art 4.2 RGPD)
concerne la majorité des
entreprises et entités qui Il s’agit également d’une définition large qui implique non seulement les
doivent être en conformité traitements informatiques mais aussi physiques.
depuis le 25 mai 2018.
Exemple : établir une liste de noms de clients avec numéro de téléphone,
dans un fichier ou excel ou un classeur physique.

■ Responsable de traitement
« la personne physique ou morale (…) qui, seule ou conjointement avec
d’autres, détermine les finalités et les moyens du traitement »
(Art 4.7 RGPD)

■ Sous-traitant
« qui traite des données à caractère personnel pour le compte du
responsable de traitement »
(Art 4.8 RGPD)
4

6
FICHE

Notions clefs - suite

■ Traitement basé en UE ou à finalité dans l’UE

Lorsque l’entité (responsable ou sous-traitant) est située en UE, le RGPD est
applicable même lorsque le traitement est effectué en dehors de l’UE.
(Art 3.1 RGPD)

Lorsque l’entreprise n’est PAS située en UE, le règlement lui est applicable si le
traitement porte sur l’offre de biens ou services à des personnes résidant en UE
pour l’offre de biens ou services ou le suivi de leur comportement (notamment
le profilage).
(Art 3.2 RGPD)

Une société étrangère à l’UE qui collecte des données personnelles pour faire de
la publicité ciblée aux personnes résidant en France, par exemple, sera soumise
aux dispositions du RGPD.

Une société établie en France qui collecte des données pour le compte d’un
responsable de traitement établi dans un pays tiers à l’UE sera également
soumise aux dispositions du RGPD

■ Représentant
« une personne physique ou morale établie dans l’Union, désignée par le
responsable de traitement ou le sous-traitant par écrit, en vertu de l’article 27,
qui les représente en ce qui concerne leurs obligations respectives en vertu du
présent règlement »
(Art 4. 17 RGPD)

Les responsables de traitement qui ne sont pas basés en UE mais auxquels le

RGPD s’applique, désignent un représentant mandaté pour être notamment le
point de contact de l’Autorité de contrôle et des personnes concernées (Art. 27
RGPD).

7
FICHE
Le principe d’Accountability

Cadre juridique

RGPD
Art 24, 25, 30, 35, 37

Principe Conséquences
L’ « Accountability » est un principe
général de responsabilisation des acteurs
traitant des données personnelles, dont
1. Disparitions du système des formalités
l’application est transversale à l’ensemble
préalables
des dispositions du RGPD :
La loi du 6 janvier 1978, dans son ancienne version,
prévoyait un système de protection des données
« Il y a lieu d’instaurer la responsabilité personnelles basé sur la réalisation de formalités
du responsable du traitement pour tout préalables auprès de l’Autorité de contrôle (La Commission
traitement de données à caractère Nationale Informatique et Libertés, « CNIL », en France).
personnel qu’il effectue lui-même ou qui Les acteurs devaient déclarer les traitements qu’ils effectuent
est réalisé pour son compte. Il importe, et demander l’autorisation pour les traitements présentant le
en particulier, que le responsable du plus de risques pour la protection des données personnelles
traitement soit tenu de mettre en œuvre (Art 11, 2° de la loi du 6 janvier 1978, ancienne version).
des mesures appropriées et effectives et
soit à même de démontrer la conformité
des activités de traitement avec le présent Le RGPD renverse cette logique en instaurant :
règlement, y compris l’efficacité des « la responsabilité du responsable de traitement pour tout
mesures. Ces mesures devraient tenir traitement de données à caractère personnel qu’il effectue
compte de la nature, de la portée, du lui-même ou qui est réalisé pour son compte »
contexte et des finalités du traitement
(Considérant 74 RGPD)
ainsi que du risque que celui-ci présente
pour les droits et libertés des personnes
physiques. » 2. Pouvoirs accrus de l’Autorité de Contrôle
(Cf Fiche n°5)
(Considérant 74 RGPD)
En contrepartie de la responsabilisation des acteurs,
l’Autorité de contrôle bénéficie de pouvoirs accrus afin de
veiller au respect du RGPD, notamment en sanctionnant les
entités par le biais d’amendes administratives, dont les
montants maximums ont significativement augmenté : 20
Millions d’euros ou 4% du chiffres d’affaires annuel mondial
(Art 83 RGPD) contre 3 Millions d’euros maximum prévus dans
la loi de 78 (Art 47 de la loi du 6 janvier 1978 ancienne version).
6

8
FICHE
Le principe d’Accountability

Conséquences - suite

L’Autorité de contrôle bénéficie également de certains pouvoirs d’interprétation du

RGPD, par la publication de guides et lignes directrices ou encore par l’approbation des
règles d’entreprise contraignante (Binding Corporate Rules ou « BCR»), de clauses
contractuelles types, de codes de conduite et d’organismes de certification.

3. La gouvernance des données par les acteurs

L’Accountability amène également les acteurs traitant des données personnelles à être en
charge de leur conformité (ou « compliance »), par la mise en place d’une gouvernance
des données. Ils doivent pouvoir démontrer l’existence de procédures de protection des
données, de politiques en matière de sécurité et de gestion des risques liés aux données
personnelles.

■ Le respect du principe d’Accountability passe par la mise en place de différents

outils et le respect de certains principes édictés par le RGPD :

■ Le respect du principe « Privacy by ■ Les mécanismes de Certifications et

design » : implique de prendre en Codes de conduite : l’Autorité de
compte les exigences relatives à la contrôle pourra valider certains
protection des données dans les projets organismes qui en retour pourront
dès leur conception, et de s’assurer de délivrer des Certifications et/ou rédiger
la conformité des produits et services des Codes de conduites attestant de la
proposés aux dispositions du règlement conformité de l’entité au RGPD.
tout au long de leur cycle de vie. (Art 25
RGPD) ■ Le Registre des activités : obligatoire
pour les entités de plus de 250 salariés,
■ Le respect du principe « Privacy by le registre répertorie les traitements mis
default » : consiste à prendre les mesures en œuvre et doit être mis à jour
techniques et organisationnelles régulièrement (Cf Fiche n°13)
appropriées pour garantir que, par
défaut, seules les données qui sont ■ La réalisation d’Analyses d’Impact sur
nécessaires au regard de la finalité la Protection des Données (AIPD) : le
spécifique du traitement sont collectées RGPD prévoit que lorsqu’un traitement
et utilisées. (Art 25 RGPD) est susceptible d’engendrer un risque
élevé pour les droits et libertés des
■ La Documentation « informatiques et personnes, le responsable de traitement
libertés » ou Data Policy (Cf Fiche n°11) doit réaliser une AIPD permettant de
déterminer les mesures appropriées à
■ La nomination d’un DPO (Data prendre pour démontrer la conformité du
Protection Officer ou Délégué à la traitement concerné au RGPD (Cf Fiche
Protection des Données) : obligatoire n°12)
dans certains cas, le DPO coopère avec
l’Autorité de Contrôle et conseille le
responsable de traitement (Cf Fiche n°3)

9
FICHE
Le Data Protection Officer (DPO)

Cadre juridique

Article 22, III. : Correspondant à la protection des données à

caractère personnel ou « CIL »

Art 37 à 39 – Le délégué à la protection des

RGPD
données

Les références au CIL sont supprimées dans l’ensemble de la loi et

remplacées par le « Délégué à la protection des données »

Principe Mise en œuvre

Le RGPD introduit un nouvel acteur : le
DPO (Data Protection Officer ou Délégué
à la protection des données) (Art 37 à 39
1. Une désignation obligatoire pour certains
RGPD) :
acteurs (Art 37 RGPD)
La désignation d’un DPO est obligatoire, tant pour les
« une personne possédant des responsables de traitements que pour les sous- traitants,
connaissances spécialisées de la dans les cas suivants :
législation et des pratiques en matière de
protection des données devrait aider le ■ s’ils appartiennent au secteur public
responsable du traitement ou le sous- ■ si leur activité de base les amène à réaliser un suivi
traitant à vérifier le respect, au niveau régulier et systématique des personnes à grande échelle
interne, du présent règlement. »
■ si leur activité principale les amène à traiter (toujours à
(Considérant 97 RGPD)
grande échelle) des données dites « particulières » ou
relatives à des condamnations pénales ou à des infractions.
■ Le DPO est destiné à remplacer le
Correspondant Informatique et Libertés
(CIL) mais diffère de ce dernier, le RGPD
En pratique, le RGPD utilise des termes larges pour les cas
précisant ses qualifications et le besoin
de formation continue. Il a également un de désignation obligatoire :
rôle renforcé en matière de conseil et de
sensibilisation sur les nouvelles « activités de base » : selon le G29, ce terme désigne les
obligations du RGPD 1. activités que le responsable doit nécessairement mener
pour atteindre ses objectifs. Il est donné comme exemple
■ De plus, alors que le CIL était facultatif, un hôpital dont le secteur est la santé mais qui est amené,
la désignation d’un DPO est obligatoire
dans ses activités de base, à traiter des fichiers médicaux
dans certaines hypothèses.
des patients.2

« à grande échelle » : si le RGPD ne définit pas la notion,

le G29 recommande de prendre en compte le nombre de
personnes concernées, le volume de données, la durée
1
[Link] ou la permanence des traitements et leur étendue
protection-des-donnees, visité le 15/01/2018 géographique.2
2
G29, Lignes directrices concernant les délégués à
la protection des données (DPD), Version révisée et « systématique et régulier » : le G29 interprète ces notions
adoptée le 5 avril 2017
comme « de manière constante ou périodique »,
« préétabli », « dans le cadre d’une stratégie » .2 8

10
FICHE
Le Data Protection Officer (DPO)

Mise en œuvre - suite

Le RGPD permet la désignation d’un même DPO pour plusieurs entreprises appartenant
à un même groupe mais il faut alors qu’il soit en mesure d’accomplir ses missions de la
même façon pour chacune des entreprises et être joignable par toutes (Art 37, 2. RGPD)

Lorsque la désignation d’un DPO n’est pas obligatoire et que l’entité n’a pas fait le choix
d’en désigner un volontairement, le G29 recommande de documenter ce choix en
justifiant le caractère facultatif de la désignation, notamment au regard des critères
énoncés par le RGPD . Le G29 considère que la documentation de ce choix est induite par
le principe de responsabilité et devrait à ce titre figurer dans la documentation « Données
Personnelles » (Cf Fiche n°11)

Même lorsque la désignation d’un DPO est facultative, celle ci est encouragée par la CNIL.

2. La personne ou organisme désignée en tant que DPO

Le DPO doit disposer de connaissances en droit mais également de connaissances
pratiques quand à la gestion des données personnelles (Art 37, 5. RGPD)
Le DPO peut être un membre du personnel du responsable de traitement ou du sous-
traitant mais peut également être externe à l’entreprise par un contrat de prestation de
services (Art 37, 6. RGPD).
Le DPO peut se faire assister dans ses missions par d’autres professionnels qualifiés
venant compléter ses propres connaissances.

Qu’il soit interne ou externe à l’entité, la mission du DPO doit être formalisée par un
écrit (contrat, lettre de mission …) prévoyant son implication en amont des traitements,
tout au long du cycle de vie des données auprès des personnes concernées, et de
façon générale dans la politique données personnelles de l’entreprise (sensibilisation
des opérateurs, formations, relations avec l’Autorité de contrôle…)

3. Les missions du DPO

Les missions du DPO sont dispositions applicables en ■ coopère avec l’autorité de
a minima les suivantes (Art la matière (notamment la loi contrôle
39 RGPD) : du 6 janvier 1978 telle que
■ estlepointdecontactpour
modifiée par le projet de loi
■ informe et conseille les les personnes concernées,
d’adaptation au RGPD) ;
membres de l’entité ces dernières pouvant le
s’agissant des obligations ■ est impliqué dans le saisir de toute question
en matière de protection processus d’analyse relative au traitement de
des données ; d’impact et en vérifie leurs données et à l’exercice
l’exécution ; de leurs droits.
■ contrôle le respect du
règlement et des autres

3
G29, Lignes directrices concernant les délégués à la protection des données (DPD), Version révisée
et adoptée le 5 avril 2017 9
4
[Link] , visité le 15/01/2018 11
FICHE
Le Data Protection Officer (DPO)

Mise en œuvre - suite

La fonction de DPO est régie par les principes essentiels suivants (Art 38 RGPD):

■ l’indépendance : il ne ■ l’absence de conflit ■ la confidentialité : le

reçoit aucune instruction d’intérêt : notamment DPO est soumis au secret
dans l’exercice de sa lorsque le DPO exerce professionnel ou à une
mission, il ne peut être d’autres missions ou obligation de
pénalisé ou relevé de ses tâches au sein de l’entité, confidentialité pour ce qui
fonctions à ce titre ; ou en raison de son relève de l’exercice de sa
rattachement mission.
hiérarchique;

En pratique, la désignation d’un DPO doit être accompagnée de la mise en œuvre

d’une organisation spécifique lui permettant d’exercer de manière effective et
efficace ses missions :

■ mise à disposition demoyens techniques, financiers, humains etorganisationnels

pour mener à bien ses missions,

■ formalisation d’un processus de remontées d’informations en interne sur les

opérations de traitement réalisées afin qu’il puisse y être associé dès l’origine...)

L’AFCDP (Association Française des Correspondants des Données à caractère

Personnel) propose une Charte de déontologie des DPO5.

4. La Responsabilité et les sanctions du DPO

■ Le RGPD ne prévoit pas les cas de révocation ou de sanction d’un DPO qui n’effectuerait
pas ses missions correctement.

■ En raison de son indépendance, le DPO ne peut être pénalisé pour l’exercice de ses
missions (Art 38, 3. RGPD)

■ Les lignes directrices du G29 précisent que le délégué n’est pas responsable en cas
de non-respect du règlement. Le RGPD établit clairement que c’est le responsable du
traitement ou le sous-traitant qui est tenu de s’assurer et d’être en mesure de démontrer
que le traitement est effectué conformément à ses dispositions (Art 24, 1. RGPD)6.

■ A noter toutefois que le délégué n’est pas un salarié protégé au sens du code du travail
français. Dès lors, il pourrait être licencié légitimement, comme tout autre employé, pour
des motifs autres que l’exercice de ses missions de délégué (par exemple, en cas de vol,
de faute grave7).

5
AFCDP, Charte AFCDP de Déontologie des délégués à la protection des données, du 1er juin 2017
6
G29, Lignes directrices concernant les délégués à la protection des données (DPD), Version révisée et
adoptée le 5 avril 2017 10
7
[Link] visité le 15/01/2018 12
FICHE Les relations du Responsable de traitement avec
le responsable conjoint et le sous-traitant

Cadre juridique

Art 35 – Sous-traitant

Art 26 - Responsables conjoints de traitement

RGPD
Art 28 - Sous-traitant

Chapitre III, articles 60 et 61 : impose le respect des

dispositions du RGPD

I. Responsables conjoints de traitement

Principe Mise en œuvre

L’article 26 du RGPD définit les
responsables conjoints de traitements Les contrats entre responsables de traitements doivent
comme deux responsables ou plus qui
définissent conjointement les finalités du
notamment prévoir (Art 26 RGPD) :
traitement. ■ La définition des rôles respectifs de chacun, notamment
au regard du droit d’information des personnes prévus au
Qu’ils participent de façon égale ou non
articles 13 et 14 du RGPD
à la définition des finalités chacun des
responsables est soumis à l’obligation de ■ L’organisation des relations avec les personnes
conformité au RGPD, leurs obligations concernées et notamment :
respectives devant être définies
contractuellement (Art 26 RGPD). ■ les modalités d’exercice des droits et points de
contact pour les personnes
■ les obligations en matière de réponse aux demandes
des personnes concernées

Les responsables conjoints de traitement partagent la

responsabilité de conformité au règlement :
■ Indépendamment des termes du contrat, les personnes
concernées peuvent exercer les droits que leur confère le
RGPD contre chacun des responsables de traitement (Art
26, 3. RGPD).

13
FICHE Les relations du Responsable de traitement avec
le responsable conjoint et le sous-traitant

II. Responsable de traitement et sous-traitant

Principe Mise en œuvre

Le RGPD étend aux sous-
traitants une partie des
obligations jusque là imposées 1. Une contractualisation obligatoire
uniquement aux responsables
de traitement, notamment dans
Les relations entre le responsable de traitement et le sous-traitant doivent
le respect des droits des être contractualisées sous forme écrite.
personnes concernées et la
démonstration de la conformité ■ L’article 28.3 du RGPD liste les éléments devant obligatoirement
au RGPD (Art 28, 3. RGPD). figurer dans ce contrat :

■ Le responsable de traitement ■ Définition du traitement (objet, durée, nature, finalité, type de

doits’assurer quelesous-traitant données, catégories de personnes concernées, droits et obligations
auquel il a recours présente les du responsable de traitement)
garanties nécessaires et
suffisantes s’agissant de la ■ Traitement des données par le sous-traitant uniquement sur
mise en œuvre de mesures instruction documentée du responsable de traitement
techniquesetorganisationnelles
■ Obligation de confidentialité à la charge des personnes autorisées
appropriées pour répondre aux
exigences du RGPD et garantir à traiter les données chez le sous-traitant
la protection des droits des ■ Respect par le sous-traitant des exigences de sécurité du
personnes concernées (Art 28, 1.
traitement et obligation d’aider le responsable de traitement en vue
RGPD).
de garantir le respect par ce dernier de ses obligations à ce titre
■ Lorsqu’unsous-traitantrecrute (notamment en matière de sécurité et dans les cas d’analyse
à son tour un sous-traitant, il d’impact)
doit obtenir l’autorisation du
■ Nécessité d’une autorisation écrite préalable, spécifique ou
responsable de traitement (Art
28, 2. RGPD) et s’assurer que le générale du responsable de traitement pour le recrutement d’un
sous-traitant recruté présente autre sous-traitant par le sous-traitant
les mêmes garanties suffisantes
au regard de la conformité au
■ Obligation pour le sous-traitant d’aider le responsable de
RGPD (Art 28, 3. RGPD). traitement pour donner suite aux demandes d’exercice de leurs
droits par les personnes concernées
Par contrat, le sous-traitant
■ Suppression par le sous-traitant ou renvoi des données au
applique les mêmes obligations
au second sous-traitant que responsable de traitement au terme de la prestation
celles qui existent entre lui et le ■ Mise à disposition du responsable de traitement par le sous-
responsable de traitement (Art
traitant des informations nécessaires pour apporter la preuve du
28, 4. RGPD).
respect de ses obligations et permettre la réalisation d’audits

En pratique
La CNIL a publié des exemples de clauses de sous-traitance qui sont
proposées dans l’attente de l’adoption de clauses contractuelles types
au sens de l’article 28, 8. du RGPD.
Elles peuvent être insérées dans les contrats et doivent être adaptées
et précisées selon la prestation de sous-traitance concernée10

[Link]
10

exemple-de-clauses

12

14
FICHE Les relations du Responsable de traitement avec
le responsable conjoint et le sous-traitant

Mise en œuvre - suite

2. Des solutions facultatives

Au regard des responsabilités et obligations partagées par le responsable de
traitement et son sous-traitant, il est conseillé aux entités d’assurer la conformité
d’un sous-traitant par l’un des moyens suivant11 :
■ Rédaction d’un cahier des charges ad hoc en matière de protection des
données en vue du recrutement d’un sous-traitant.
■ Choix d’un sous-traitant appliquant un code de conduite ou un mécanisme de
certification approuvé (voir notamment articles 42 et 43 RGPD).

En pratique
La CNIL a publié un guide dédié aux sous-traitants afin de les aider dans leur mise en
conformité au RGPD12

3. Le partage de responsabilité entre le responsable et son sous-traitant

Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du
règlement peut en obtenir réparation en totalité auprès du responsable de traitement
ou du sous-traitant, l’objectif étant que la personne concernée puisse obtenir une
réparation complète et effective (Art 82, 4. RGPD) (Cf Fiche n°5).

Il s’opère un partage des responsabilités entre le responsable de traitement et son sous-

traitant (Art 82 RGPD) :

■ Le responsable de traitement qui participe au traitement est responsable du

dommage causé par une violation du RGPD.
■ Le sous-traitant n’est responsable que s’il n’a pas respecté les obligations du
RGPD qui incombent spécifiquement aux sous-traitants ou s’il a agi en dehors des
instructions du responsable de traitement.
■ Une exonération est possible si l’un ou l’autre prouve que le fait qui a provoqué le
dommage ne lui est nullement imputable.
■ L’un des acteurs a la possibilité de réclamer auprès des autres responsables de
traitement ou sous-traitants la part de la réparation correspondant à leur part de
responsabilité dans le dommage.
■ Lorsque le sous-traitant du sous-traitant ne respecte pas ses obligations en matière
de protection des données, le sous-traitant initial demeure pleinement responsable
devant le responsable de traitement de l’exécution par l’autre sous-traitant de ses
obligations.

11
[Link]
accompagner-les-sous-traitants
12
[Link] 13

15
FICHE

Cadre juridique

RGPD

Notions clefs
1. Autorité de Contrôle
■ L’autorité de contrôle est ■ La CNIL est l’autorité de contrôle ■ En cas de traitement de données
indépendante du gouvernement et nationale française (Art 51 RGPD et personnelles transfrontalier, une
doit disposer des ressources art 8 de loi Informatique et Libertés autorité de contrôle nationale pourra
humaines et financières nécessaires modifiée). être désignée « chef de file », d’autres
à la réalisation de ses missions (Art autorités de contrôles pouvant être
52 RGPD). impliquées si le traitement a
partiellement lieu sur leur territoire
ou si des personnes concernées
réside sur leur territoire (Art 56 et 60
à 62 RGPD).

a. Missions

Les autorités de contrôles ont de nombreuses missions prévues par le RGPD, notamment (Art 51 RGPD) :
■ veiller au respect du RGPD
■ sensibiliser les acteurs et les personnes concernées
■ établir ou approuver une documentation favorisant la conformité au RGPD (clauses contractuelles types, liste
des AIPD obligatoires, codes de conduite, critères de certification, critère d’agrément d’un organisme certificateur,
règles d’entreprises contraignantes ou BCR … )
■ faciliter l’introduction de réclamations des personnes concernées

16
FICHE

Notions clefs - suite En pratique

b. Pouvoirs
En cas d’audit par la CNIL, l’AFCDP
Afin de réaliser ses missions, l’autorité de contrôle dispose de (Association Française des
certains pouvoirs et, notamment (Art 58 RGPD) : Correspondants à la protection des
■ de pouvoirs d’enquête Données à caractère Personnel) met à
disposition de ses membres un
■ audit du responsable de traitement ou sous-traitant (accès document permettant de se préparer à
aux locaux ; ordonner de communiquer toute information un contrôle de la CNIL13
nécessaire)
■ notifier une violation alléguée au RGPD
■ de mesures correctrices 13
AFCDP, Comment se préparer (sereinement ?)
■ avertir ou rappeler à l’ordre à un éventuel contrôle sur place de la CNIL ?, 11
juin 2010
■ ordonner de satisfaire aux demandes d’une personne
concernée
■ ordonner une mise en conformité dans un délai déterminé

■ ordonner la rectification ou l’effacement de données ou imposer une limitation d’un traitement

■ retirer une certification
■ imposer une amende administrative
■ ordonner la suspension des flux de données vers un pays tiers à l’UE
■ pouvoirs d’autorisation et de pouvoirs consultatifs
■ conseiller le responsable de traitement (Art 36 – Consultation préalable après une AIPD)
■ émettre un avis à l’attention de l’Etat
■ émettre un avis sur les codes de conduites et certifications et les approuver
■ approuver les clauses contractuelles ad hoc en cas de transfert vers des pays tiers, approuver les règles
d’entreprises contraignantes (ou BCR)
■ L’autorité de contrôle peut également « porter toute violation du présent règlement à l’attention des
autorités judiciaires » et ester en justice pour faire appliquer les dispositions du RGPD
Les acteurs disposent tout de même d’un recours juridictionnel effectif contre tout type de décision de
l’Autorité de contrôle (Art 58, 4. RGPD)

2. Comité Européen de la protection des données (ou CEPD)

■ Le Comité Européen de la Protection des données, qui remplace l’ancien « G29 », est constitué des
Présidents des autorités de contrôles nationales de chaque membre de l’UE et du Contrôleur européen à
la protection des données.
■ Il a notamment pour mission de veiller au respect du règlement au sein de l’UE et est amené à publier
des lignes directrices et des recommandations quant à la protection des données en application dudit
règlement (Art 68 à 70 RGPD).
Le CEPD peut également rendre des avis contraignants sur les décisions des autorités de contrôles et règle
les éventuels litiges entre différentes autorités de contrôle (Art 63 à 67 RGPD).

17
FICHE

Mise en œuvre : les sanctions applicables

1. Réclamations auprès d’une autorité de contrôle (Art 77 RGPD)

Lorsqu’une personne concernée estime qu’un responsable de traitement ou un sous-traitant
a manqué à ses obligations relativement à la protection de ses données personnelles, elle
peut introduire une réclamation auprès de l’Autorité de contrôle, la CNIL en France.

En pratique
En réponse à une réclamation, la CNIL pourrait faire usage de tous ses pouvoirs
mentionnés précédemment pour enquêter et prendre les mesures nécessaires à
l’encontre du responsable de traitement ou du sous-traitant.
Même si la CNIL estimait que la réclamation n’est pas fondée, la personne pourrait
tout de même intenter une action justice

2. Amendes administratives imposées par une autorité de contrôles (Art

83 RGPD)

a. L’article 83 prévoit que les amendes imposées sont «effectives, proportionnées et

dissuasives»

OBLIGATION VIOLÉE

■ Art 8 RGPD :
Consentement des mineurs de moins de 16 ans pour les
services de la société de l’information (Cf fiche n°7)
■ Art 25 à 39 RGPD :
Obligations applicables au responsable et au sous-traitant
(privacy by design / by default ; registre de traitement ;
sécurité des données ; AIPD ; DPO) (Cf fiche n°2 à 5, 12 et 13)

■ Art 42 et 43 RGPD :
Obligations afin d’obtenir une certification (Cf fiche n°5)
■ Art 5, 6, 7 et 9 RGPD :
Principes de bases d’un traitement et conditions applicables
au consentement et aux catégories particulières de
données (Cf fiche n°6, 7 et 8)
■ Art 12 à 22 RGPD :
Droits des personnes (Cf fiche n°9)
■ Art 44 à 49 RGPD :
Transferts hors UE (Cf fiche n°10)
■ Chapitre IX RGPD :
Les obligations découlant du droit des Etats membres en
vertu des marges de manœuvre laissés aux Etats par le
RGPD (voir notamment en France, les conditions de
traitement du NIR – numéro d’inscription des personnes au
répertoire national – article 22 de loi du 6 janvier 1978 selon
le projet de loi d’adaptation) (Cf fiche n°8)
■ Art 58 RGPD :
Le non-respect d’une injonction de l’Autorité de contrôle ou
l’entrave à l’accès faisant parti des pouvoirs d’enquête de
l’autorité de contrôle

18
FICHE

Mise en œuvre : les sanctions applicables - suite

b. Précisions sur les amendes administratives

■ Le RGPD précise que le niveau de protection des données personnelles au sein des
pays membres de l’UE devrait être équivalent (Considérant 10 RGPD).
■ Ce principe d’équivalence amène le G29 à considérer que les montants des amendes
administratives imposées par chaque autorité de contrôle nationale devraient être
similaires d’un pays à l’autre14.
En pratique
■ Le RGPD précise les critères à prendre en compte pour fixer
le montant d’une amende et, notamment (Art 83, 2. RGPD) :
Au regard des critères à prendre en
■ la nature, gravité et durée de la violation, le nombre de compte pour la fixation des amendes, on
personnes concernées, le niveau de dommage subi, les peut observer que ceux-ci suivent la
catégories de données concernées logique générale du RGPD, c’est-à-dire la
■ le fait que la violation ait été commise délibérément ou responsabilisation des acteurs. Plus le
par négligence responsable ou le sous-traitant sera en
mesure de démontrer qu’il avait pris les
■ si des mesures ont été prises pour atténuer le dommage mesures nécessaires pour garantir la
subi protection des données, moins l’autorité
■ les violations précédentes de contrôle sera sévère.

■ la coopération avec l’Autorité de contrôle pour remédier Les montants maximums des amendes
aux conséquences de la violation ont été décidés en considération des
■ l’application de codes de conduite ou de mécanismes pratiques des GAFA (« géants » du net tels
de certification que Google, Amazon, Facebook, Apple).

■ « toute autre circonstance aggravante ou atténuante A titre d’exemple :

applicable », notamment si la violation a résulté en l’obtention § La CNIL a imposé une amende de 50
d’avantages financiers pour le responsable de traitement ou millions d’euros à GOOGLE en janvier
le sous-traitant 2019
L’ICO a imposé une amende de plus de
183 millions de livres à British Airways en
juillet 2019
3. Recours juridictionnel (Art 79 RGPD)
a. Représentation des personnes concernées : actions de
groupe (Art 80 RGPD)

Les personnes concernées peuvent mandater une association ou un organisme habilité

pour les représenter dans le cadre d’une réclamation à une autorité de contrôle ou dans le
cadre d’un recours juridictionnel à l’encontre d’une autorité de contrôle, d’un responsable
de traitement ou d’un sous-traitant.
Cette faculté des personnes concernées a été reprise à l’article 37 de la loi Informatique
et Libertés modifiée et prévoit qu’elles peuvent mandater les associations actives en
matière de protection de la vie privée, les associations de défense des consommateurs
ainsi que les organisations syndicales15.
Cette action de groupe permettra d’« engager la responsabilité de la personne ayant
causé le dommage », en vue « d’obtenir la réparation des préjudices matériels et moraux
subis » par un « fait générateur postérieur au 24 mai 2018 »16

14
G29, Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679,
adoptées le 3 octobre 2017
15
Article 37 de la loi informatique et libertés modifiée
16
Idem, article 43 ter loi informatique et libertés modifiée

19
FICHE

Mise en œuvre : les sanctions applicables - suite

b. Responsabilité et droit à réparation (Art 82 RGPD)

■ Le RGPD prévoit que les personnes peuvent obtenir en justice la réparation de leur
dommage matériel et/ou moral.
■ La responsabilité du responsable de traitement, comme celle du sous-traitant, peut
être engagée dans les conditions explicitées à la fiche n°4

4. Autres sanctions et Responsabilité pénale (Art 84 RGPD)

L’article 84 du RGPD prévoit que « les Etats membres déterminent le régime des autres
sanctions applicables en cas de violation ».
Ces autres sanctions sont prévues dans le droit français par la loi du 6 janvier 1978 et le
code pénal, et notamment :

a. Sanctions de la CNIL
■ L’article 20, II° de la loi du 6 janvier 1978 modifiée prévoit que la CNIL peut mettre en
demeure un responsable de traitement ou un sous-traitant de se conformer aux
obligations du RGPD ou de la loi 6 janvier 1978, dans le délai qu’elle fixe.
En cas d’extrême urgence, le délai peut être fixé à 24 heures.
■ Le même article prévoit notamment que la CNIL peut émettre une injonction de mise
en conformité, sous astreinte d’un montant maximum de 100 000€ par jour.

b. Sanctions pénales
Articles 40 à 41 de la loi du 6 janvier 1978 modifiée :
■ Les infractions à la loi du 6 janvier 1978 sont prévues aux articles 226-16 à 226-24 du
Code pénal :
■ les sanctions peuvent aller jusqu’à cinq ans d’emprisonnement et 300 000€
d’amende pour les personnes physiques
■ jusqu’à 1 500 000€ d’amende pour les personnes morales
■ Le dirigeant peut voir sa responsabilité pénale engagée (Art 121-2 du Code pénal),
notamment s’il a commis une faute personnelle, si ses préposés ont commis une
faute et qu’il a fait preuve de négligence ou encore s’il est complice de l’infraction.
■ Lorsque la CNIL a prononcé une amende administrative à l’encontre d’un responsable
de traitement ou d’un sous-traitant, le juge pénal saisi des mêmes faits peut décider
d’imputer l’amende administrative sur l’amende pénale qu’il prononce (Art 22 de la loi
du 6 janvier 1978 modifiée)

20
PARTIE 2

Les obligations
à l’égard des
personnes

21
FICHE Les principes devant gouverner les traitements

Cadre juridique

Art 6 – Principes relatifs aux traitements

Art 7 – Consentement et autres bases légales

Art 5 – Principes relatifs au traitement des données à caractère

RGPD
personnel
Art 6 – Licéité du traitement

I. La licéité du traitement

Principe Mise en œuvre

Sous l’empire de la loi « Informatique
et Libertés », la licéité du traitement de
1. Les différentes bases légales du traitement
données personnelles était déjà l’une des
obligations imposées aux responsables
(Art 6 RGPD):
de traitements (Art 6 et 7 de la loi du 6 janvier
1978, ancienne version ). ■ Consentement
Le consentement de la personne pour une ou plusieurs
Cependant, les conditions de cette licéité
finalités spécifiques (Art 6, 1. a) RGPD) (Cf Fiche n°7)
et son interprétation varient quelque peu
avec le nouveau règlement : en effet, ■ Contrat
celui-ci impose que chaque collecte et
traitement de données se fonde sur l’une Le traitement est nécessaire à l’exécution d’un contrat ou de
des bases légales énumérées mesures précontractuelles (Art 6, 1. b) RGPD)
limitativement à l’article 6 du RGPD, étant
entendu que le responsable ne pourra En pratique
ensuite se fonder sur une base légale
différente pour un même traitement. La personne concernée doit être partie au contrat ou les
mesures précontractuelles doivent être prises à la
demande de celle-ci. Seul un lien direct et objectif avec le
contrat peut justifier que la licéité du traitement repose sur
ce fondement.

Cette base légale devrait être interprétée de manière

restrictive et ne couvre pas les situations dans lesquelles le
traitement n’est pas véritablement nécessaire à l’exécution
d’un contrat.
Le fait que le traitement de données personnelles soit
couvert par un contrat ne signifie pas automatiquement
que le traitement soit nécessaire à son exécution.

22
FICHE Les principes devant gouverner les traitements

Mise en œuvre - suite

Par exemple : Le traitement de l’adresse Il revient au responsable de traitement

postale d’un client est nécessaire pour la de démontrer que ses intérêts légitimes
livraison de produits commandés. prévalent sur ceux de la personne
En revanche, si l’adresse fait l’objet d’un concernée.
traitement à des fins de prospection, le
consentement de la personne devra être Le responsable de traitement doit
recueilli pour donner une base légale au également veiller à informer la personne
traitement concernée des motifs légitimes
poursuivis lorsque le traitement est
fondé sur cette base.
■ Obligation légale
Cette dernière base légale n’est pas
Le traitement est nécessaire au respect applicable aux traitements effectués par
d’une obligation légale à laquelle le les autorités publiques dans l’exercice
responsable de traitement est soumis ou à de leurs missions
l’exécution d’une mission d’intérêt public
ou relevant de l’exercice de l’autorité
publique dont il est investi (Art 6, 1. c) et e) 2. Les traitements ultérieurs (Art 6,
RGPD) 4. RGPD):

■ Intérêts Vitaux Lorsque le responsable de traitement

souhaite traiter des données afin de
le traitement est nécessaire à la poursuivre une finalité différente de celle
sauvegarde des intérêts vitaux de la initialement prévue, il doit s’assurer que
personne concernée ou d’une autre cette nouvelle finalité est compatible avec
personne physique (Art 6, 1. d) RGPD) la précédente.

■ Intérêts légitimes ■ La compatibilité s’apprécie au regard

Le traitement est nécessaire aux fins des de plusieurs critères
intérêts légitimes poursuivis par le ■ S’il existe un lien entre la finalité
responsable de traitement ou par un tiers, initiale et la nouvelle envisagée
à moins que ne prévalent les intérêts ou
■ Le contexte de la collecte initiale et
les libertés et droits fondamentaux de la
notamment des relations existantes
personne concernée qui exigent une
entre le responsable de traitement et la
protection des données (Art 6, 1. f) RGPD).
personne concernée
Le RGPD impose un critère de mise en ■ S’il s’agit de données particulières
balance pour déterminer si ce fondement (notamment « sensibles ») (Cf Fiche n°8)
peut justifier le traitement, entre : ■ S’il existe des garanties appropriées
o L’intérêt légitime poursuivi par le (notamment : chiffrement et
responsable du traitement ou des tiers, pseudonymisation)
tel qu’un intérêt économique, et
■ Le RGPD prévoit qu’un traitement
o L’intérêt ou les droits et libertés ultérieur est compatible lorsqu’il est
fondamentaux de la personne
réalisé à des fins archivistiques dans
concernée (par exemple : vie privée,
réputation…) l’intérêt public, à des fins de recherche
scientifiques, historiques ou statistiques
En pratique
(Art 89, 1. RGPD).
Par exemple : pour des traitements
visant la prévention de la fraude, la
sécurité du réseau et des informations
; la balance des intérêts en cause étant
appréciés au cas par cas.
21

23
FICHE Les principes devant gouverner les traitements

II. Les principes applicables aux données collectées

■ Principe de transparence
En pratique
Les données doivent être « traitées de
manière loyale, licite et transparente » (Art 5,
1. a) RGPD) La transparence se traduit notamment par une information
claire délivrée aux personnes concernées sur le traitement
■ Principe d’exactitude des données des données personnelles (Cf Fiche n°9).

les données traitées doivent être

exactes et mises à jour régulièrement En pratique
(possibilités de rectification, voire
effacement) (Art 5, 1. d) RGPD).
Ce principe impose au responsable de traitement de
■ Principe de limitation des finalités définir les finalités des traitements et de respecter les
dispositions en matières de traitements ultérieurs à finalité
Les données ne doivent être collectées que différente (Cf Fiche n°6, 1) « traitements ultérieurs »).
pour des « finalités déterminées, explicites
et légitimes, et ne pas être traitées
ultérieurement d’une manière incompatible En pratique
avec ces finalités » (Art 5, 1. b) RGPD).
Les données à caractère personnel ne doivent être
■ Principe de minimisation des données
traitées que si la finalité du traitement ne peut pas être
atteinte par d’autres moyens. Exemples :
Les données traitées doivent être pertinentes,
adéquates et limitées à ce qui est nécessaire - une entreprise qui propose sur son site internet aux
au regard des finalités pour lesquelles elles internautes de recevoir gratuitement un devis peut
sont traitées (Art 5, 1. c) RGPD). recueillir l’identité et les coordonnées du demandeur
pour répondre à sa demande, mais ne doit pas collecter
ses coordonnées bancaires (même pour anticiper des
■ Principe de sécurité, d’intégrité et de relations futures) ;
confidentialité des données - la collecte du nom et du prénom d’un utilisateur n’est pas
nécessaire pour l’envoi d’une newsletter (seule l’adresse
Les données doivent être traitées de façon à email l’est).
garantir une sécurité appropriée au moyen
de mesures techniques ou organisationnelles
appropriées (Art 5, 1. f) RGPD) (Cf Fiche n°14).
En pratique
■ Principe de limitation de la conservation
des données
Afin de garantir que les données ne sont pas conservées
Les données ne peuvent être conservées plus longtemps que nécessaire, des délais doivent être
que pendant une durée n’excédant pas celle déterminés pour leur effacement.
nécessaire au regard des finalités pour
lesquelles elles sont traitées (Art5,1.e) RGPD). Il faut donc formaliser une politique de conservation,
d’archivage et de purge des données.

24
FICHE Le Recueil du consentement

Cadre juridique
Art 7 – Consentement et autres bases légales possibles

Art 4, 11. – Définition du consentement

RGPD
Art 7 – Conditions applicables au consentement
Art 8 – Conditions applicables au consentement des enfants en qui
concerne les services de la société de l’information

Art 5 – Consentement et autres bases légales possibles

Principe
Comme expliqué dans la fiche n°5, l’une des bases légales possibles pour un traitement est le consentement
de la personne concernée.

■ Le RGPD définit le consentement de la personne concernée comme :

« toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée
accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant
fassent l’objet d’un traitement » (Art 4, 11. RGPD).

Mise en œuvre En pratique

1. Preuve du consentement Cela implique que le responsable de traitement a la charge

de la preuve du consentement et qu’il doit donc conserver
Lorsque la base légale d’un traitement est le
une trace documentée du consentement qu’il doit pouvoir
consentement, le responsable de traitement doit
présenter en cas de contrôle (Cf Fiche n°5).
être en mesure de prouver que le consentement
lui a été donné valablement (Art 7. 1 RGPD). er
L’article 7, 1 alinéa du RGPD précise:

« Dans les cas où le traitement repose sur le consentement,

2. Validité du consentement le responsable du traitement est en mesure de démontrer
■ Les conditions de validité du consentement sont que la personne concernée a donné son consentement au
listées à l’article 7 du RGPD. traitement de données à caractère personnel la
concernant.»
Le G29 a publié en novembre 2017 des
lignes directrices afin d’expliciter ces Pourra également être examiné les conditions dans
conditions. lesquelles le consentement a été recueilli :
Ces lignes directrices ne sont pas contraignantes
pour les entités mais donnent une indication sur « Au moment de déterminer si le consentement est donné
les possibles interprétations du RGPD18: librement, il y a lieu de tenir le plus grand compte de la
question de savoir, entre autres, si l'exécution d'un contrat,
y compris la fourniture d'un service, est subordonnée au
consentement au traitement de données à caractère
personnel qui n'est pas nécessaire à l'exécution dudit
contrat.» (RGPD, article 7, dernier alinéa)

G29, Guidelines on Consent under Regulation 2016/679,

18

adoptées le 28 novembre 2017

25
FICHE Le Recueil du consentement

Mise en œuvre – suite

■ « Manifestation de volonté libre, spécifique, éclairée … » (Art 4, 11. RGPD)

• « Libre » : Le G29 déduit de ces termes que, pour que le consentement soit valide, il doit être
librement donné par la personne concernée :
• Par exemple, si le consentement au traitement fait partie des conditions générales non
négociables, le G29 considère qu’il n’est pas libre.
• Également, le refus de traitement ou le retrait de consentement ne peut se faire au détriment
de la personne concernée. Le responsable doit démontrer qu’il est possible de retirer son
consentement sans subir de préjudice (Considérant 42 RGPD), tel que, par exemple, des
coûts supplémentaires pour la personne.
• Il faut également porter une attention particulière en cas de déséquilibre manifeste entre le
responsable de traitement et la personne concernée (par exemple lorsque le responsable
est l’employeur ou une autorité publique), le recueil du consentement devant garantir la
liberté de choix de la personne.
• Lorsqu’il existe un contrat entre la personne concernée et le responsable, l’exécution du
contrat ne peut être subordonnée au consentement si le traitement lui-même n’est pas
nécessaire à l’exécution dudit contrat (Art 7, 4. RGPD).

• « Spécifique »: Lorsque des données sont collectées pour servir plusieurs finalités, la personne
concernée doit donner son consentement pour l’ensemble de ces finalités (Considérant 32,
RGPD).
Le G29 en déduit que la personne concernée doit pouvoir donner son consentement pour
chacun des traitements pris séparément.

• « Éclairée » : Ce terme renvoie à l’obligation d’information du responsable de traitement (Cf

Fiche n°9).

■ « … univoque, par une déclaration ou un acte positif clair » (Art 4, 11. RGPD)

En pratique

Le RGPD donne des exemples et indique que le consentement peut être donné par déclaration écrite,
y compris par voie électronique ou par une déclaration orale, ou encore en cochant une case sur un site
web (Considérant 32 RGPD).

En revanche, la passivité de la personne concernée ne peut être la base de son consentement : le

silence ou des caches cochées par défaut ne peuvent constituer un consentement valide au regard du
RGPD (Considérant 32 RGPD).

19
G29, Guidelines on Consent under Regulation 2016/679, adoptées le 28 novembre 2017
20
Idem
21
Idem

26
FICHE Le Recueil du consentement

Mise en œuvre – suite

■ La personne concernée doit pouvoir retirer son consentement (Art 7, 3. RGPD) :

• En tout état de cause, pour que le consentement soit valide, la personne concernée doit
également avoir la possibilité de le retirer à tout moment.

En pratique

Le RGPD précise également que retirer son consentement doit être aussi facile pour la personne que de le
donner.

Exemple : s’il suffit de cocher une case sur un site pour accepter le traitement, le retrait de consentement s’effectue
de la même manière22.

Le responsable de traitement doit donc prévoir des processus permettant à la personne de signifier le retrait de
son consentement et de stopper le traitement concerné par la suite.

3. Le consentement des mineurs En pratique

■ Le RGPD porte une attention particulière au
consentement des enfants dans la société de Le G29 considère que cette disposition s’applique à
l’information (Art 8 RGPD) : tous les contrats et services offerts aux mineurs
(notamment lorsque le site ne précise pas qu’il est
• Dans le cadre des services de la société de destiné aux plus de 18 ans) en ligne24.
l’information offerts aux mineurs, le traitement
La CNIL se dit consciente du décalage entre le besoin
de leurs données à caractère personnel n’est de vérifier le consentement des parents et la réalité des
licite que lorsque le mineur est âgé d’au moins pratiques en lignes.
16 ans.
• Lorsque l’enfant est âgé de moins de 16 ans, ce En conséquence, il sera certainement mis en place
traitement n’est licite que si, et dans la mesure des codes de conduite ou mécanismes de certification
où, le consentement est donné ou autorisé spécifiques aux acteurs proposant des services aux
mineurs en ligne, ceux-ci précisant notamment de
par le titulaire de la responsabilité parentale à
quelle manière sont vérifiés25
l’égard de l’enfant.
• Le RGPD précise également que le responsable Le G29 considère également que lorsque le mineur
de traitement doit vérifier, compte tenu des atteint l’âge de 16 ans, le consentement donné par les
moyens technologiques disponibles, que le parents expire et le consentement du mineur doit être
consentement a bien été donné par titulaire de de nouveau recueilli26.
l’autorité parentale (Art 8, 2. RGPD)
• Le RGPD laisse une marge de manoeuvre aux
Etats membres pour abaisser l’âge nécessaire
au consentement, avec une limite placée à 13
ans (Art 8 RGPD).

22
G29, Guidelines on Consent under Regulation 2016/679, adoptées le 28 novembre 2017
PROJET DE LOI relatif à la protection des données personnelles, adopté en nouvelle lecture à l’Assemblée Nationale le 12 avril
23

2018, 7, 1° loi informatique et libertés modifiée

24
La CNIL se dit consciente du décalage entre le besoin de vérifier le consentement des parents et la réalité des pratiques en
lignes.
En conséquence, il sera certainement mis en place des codes de conduite ou mécanismes de certification spécifiques aux
25

acteurs proposant des services aux mineurs en ligne, ceux-ci précisant notamment de quelle manière sont vérifiés
26
Le G29 considère également que lorsque le mineur atteint l’âge de 16 ans, le consentement donné par les parents expire et le
consentement du mineur doit être de nouveau recueilli .

27
FICHE Le Recueil du consentement

Mise en œuvre – suite

4. Qu’en est-il des consentements recueillis avant l’entrée en vigueur du RGPD ?
Le considérant 171 du règlement précise que « Lorsque le traitement est fondé sur un
consentement en vertu de la directive 95/46/CE, il n’est pas nécessaire que la personne
concernée donne à nouveau son consentement si la manière dont le consentement a été donné
est conforme aux conditions énoncées dans le présent règlement ».

En pratique

Tous les responsables de traitements doivent donc vérifier si leurs procédures actuelles sont conformes
aux exigences du règlement. Dans le cas contraire, le consentement des personnes devra être recueilli
de nouveau.

C’est par exemple le cas des consentements qui ont été obtenus par des cases pré-cochées (n’impliquant
pas un acte positif mais passif de la personne).

D’autre part, le responsable de traitement ayant la charge de la preuve du consentement, il lui incombe
de vérifier qu’il dispose d’un enregistrement, d’une preuve de ces consentements précédemment
obtenus, ceux-ci devant être renouvelés dans le cas contraire.

5. Notion de consentement explicite

■ Le RGPD conditionne certains traitements à un consentement explicite de la personne
concernée :

• A l’article 9 relatif aux données sensibles (Cf fiche n°8)

• A l’article 22 relatif aux traitements impliquant des décisions individuelles automatisées (Cf
fiche 9)
• A l’article 49 relatif aux transferts de données hors UE, basés sur une dérogation pour des
situations particulières (Cf fiche n°10).

En pratique

Le G29 définit le«consentement explicite»comme une déclaration expresse27 .Sont donnés en exemple :
remplir un formulaire électronique, envoyer un email, télécharger un document scanné avec sa signature,
utiliser une signature électronique.

Le G29 propose également la vérification du consentement en deux étapes, par exemple en validant
une mention « j’accepte » qui conduit à l’envoi d’un email avec un lien de vérification sur lequel il faut
cliquer pour que le consentement soit enregistré.

Le G29 semble faire une distinction entre le consentement en tant que base légale de traitement tel que
prévu à l’article 6, et le « consentement explicite » prévu dans des dispositions plus particulières28.

Il ne s’agit cependant que d’une interprétation non contraignante du G29 et il faudra attendre de voir si
le juge exige lui aussi un consentement particulier lorsque le règlement utilise cette notion.

27
G29, Guidelines on Consent under Regulation 2016/679, adoptées le 28 novembre 2017
28
idem

28
FICHE Les catégories particulières de données

Cadre juridique

Art 9 – Traitement portant sur des catégories particulières de

RGPD
données à caractère personnel
Art 10 – Traitement de données à caractère personnel relatives aux
condamnations pénales et aux infractions
Chapitre IX – Dispositions relatives à des situations particulières de
traitement (Art 85 à 91)

I. «Données sensibles»

Principe Exceptions
Les traitements des données sensibles ■ Le paragraphe 2 de l’article 9 du RGPD prévoit que le
sont interdits (Art 9 RGPD) traitement de données sensibles est possible lorsque
l’une des conditions listée est remplie :
Notions clefs Le consentement explicite de la personne concernée pour une
ou plusieurs finalités spécifiques sauf lorsque c’est interdit par
■ Catégories particulières de le droit de l’Union ou de l’Etat membre (Art 9, 2. a) RGPD)
données à caractère personnel (dites
« données sensibles ») :
En pratique
« qui révèle l’origine raciale ou ethnique,
les opinions politiques, les convictions
religieuses ou philosophiques ou Pour ces types de traitement, le règlement les conditionne à
l’appartenance syndicale, ainsi que (…) l’expression d’un consentement explicite (sur la notion de
des données génétiques, des données consentement explicite, cf Fiche n°7).
biométriques aux fins d’identifier une
personne physique de manière unique, Le RGPD prévoit qu’un Etatmembre peut choisir si l’interdiction
des données concernant la santé ou des de traitement des données sensibles peut être levée par le
données concernant la vie sexuelle ou consentement de la personne ou non.
l’orientation sexuelle d’une personne
physique » En France, la loi du 6 janvier 1978 modifiée autorise toujours
(Art 9, 1. RGPD) le traitement de données sensibles fondé sur le
consentement de la personne .

Pour les résidents d’autres pays de l’Union, il faudra vérifier si

leur droit national autorise le traitement de données sensibles
fondé sur le consentement des personnes.

29
Article 8, II, 1° de la loi du janvier 1978

29
FICHE Les catégories particulières de données

Exceptions - suite
• Le traitement est nécessaire à l’exécution des obligations et de l’exercice des droits propres
au responsable de traitement ou à la personne concernée en matière de droit du travail, de
la sécurité sociale, de la protection sociale ET est autorisé par le droit de l’Union ou de l’Etat
membre et prévoit des garanties appropriées pour les droits fondamentaux et les intérêts
de la personne. (Art 9, 2. b) RGPD)

• Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne (Art 9, 2. c) RGPD)

• Le traitement est effectué par une association/un organisme à but non lucratif poursuivant
une finalité religieuse, politique, philosophique ou syndicale ET les données ne concernent
que les personnes en lien proche avec l’organisme ET ne sont pas rendues publiques sans
le consentement des personnes concernées. (Art 9, 2. d) RGPD)

• Le traitement porte sur des données manifestement rendues publiques par la personne
concernée. (Art 9, 2. e) RGPD)

• Le traitement est nécessaire à la contestation, à l’exercice ou à la défense d’un droit en justice

(Art 9, 2. f) RGPD).

• Le traitement est nécessaire pour des motifs d’intérêt public important, est proportionné à
l’objectif poursuivi et prévoit les garanties appropriées pour la sauvegarde des droits et des
intérêts des personnes. (Art 9, 2. g) RGPD)

• Le traitement est nécessaire aux fins de médecine (préventive, médecine En pratique

du travaille, diagnostics, gestion des services de soins de santé … ) ET est
effectué par un professionnel de la santé soumis au secret professionnel.
Le traitement des données
(Art 9, 2. h) RGPD)
de santé à finalité d’intérêt
• Le traitement est nécessaire pour des motifs d’intérêt public dans le public est également soumis
domaine de la santé publique ; sur la base du droit de l’Union ou de à un régime particulier, dont
les dispositions se trouvent
l’Etat membre qui prévoit des garanties appropriées pour les personnes,
au Titre II, Chapitre III,
notamment le secret professionnel. (Art 9, 2. i) RGPD) section 3 de la loi du
• Le traitement est nécessaire à des fins archivistiques dans l’intérêt 6 janvier 1978 modifiée.
public, à des fins de recherche scientifique ou historique ou à des fins
statistiques (Catégorie de traitement régie par l’article 89 du RGPD). (Art
9, 2. j) RGPD)

En pratique

L’article 89 du RGPD prévoit que techniques et organisationnelles, aux droits des personnes prévus
les traitements à des fins notamment pour assurer la par le RGPD dans le cadre de tels
archivistiques dans l’intérêt minimisation des données. Ces traitements.
public, à des fins de recherche mesures comprennent la
scientifique ou historique ou à pseudonymisation.
des fins statistiques (qu’ils
portent sur des données Lorsque cela est possible, il faut
sensibles ou non) sont traiter les données d’une
possibles lorsque sont manière qui ne permette pas ou
apportées les garanties plus d’identifier la personne
appropriées pour les droits et (anonymisation).
libertés de la personne
concernée. Ces garanties Le droit national des membres de
garantissent la mise en place de l’UE peut prévoir des dérogations
mesures

30
FICHE Les catégories particulières de données

II. Données personnelles relatives aux condamnations

pénales et aux infractions (Art 10 RGPD)
• L’article 10 du RGPD prévoit que les données relatives aux condamnations pénales et
aux infractions ou aux mesures de sécurité connexes ne peuvent être traitées que sous
le contrôle l’autorité publique, ou alors est prévu par le droit de l’Union ou le droit de
l’Etat membre qui prévoit des garanties appropriées pour les droits des personnes
concernées.

• Le principe est repris en droit national, prévoyant qu’un décret pris en Conseil d’Etat
fixe une liste des personnes morales de droit privé collaborant au service public de la
justice qui pourront procéder à de tels traitements31

III. Cas particulier du numéro d’inscription des personnes au

répertoire national d’identification (dit « NIR »)
• Un décret pris en Conseil d’état fixe les catégories de responsables de traitement qui
peuvent traiter du NIR ainsi que des finalités autorisées pour ces traitement32.

• La loi du 6 janvier 1978 modifiée prévoit certaines dérogations notamment à l’usage

de l’administration, à des finalités de statistique publique ou des finalités de recherche
scientifique, sous réserve notamment que soit substitué un code statistique insignifiant
au NIR33

31
Titre III de la loi du 6 janvier 1978 modifiée
32
Article 30 de la loi du 6 janvier 1978 telle modifiée
33
Idem

31
FICHE Les droits des personnes

Cadre juridique

Art 12 à 22 – Droits de la personne concernée

RGPD
Art 34 – Notification en cas de violation de données
Art 79 – Recours

Principe
■ Le RGPD renforce les droits des citoyens européens et leur donne plus de contrôle sur leurs
données personnelles.

Les droits antérieurs sont préservés et de nouveaux sont consacrés, notamment un droit à
l’effacement ainsi qu’un droit à la portabilité des données34.

Notions clefs
a. Notion de consentement explicite

■ L’article 12 du RGPD prévoit un principe général de transparence des informations données

aux personnes concernées :

« Toute information adressée au public ou à la personne concernée doit être donnée :

« d’une façon concise, transparente, compréhensible et aisément accessible, en des termes et clairs et
simples, en particulier pour toute information destinée spécifiquement à un enfant ».
(Article 12 RGPD) »

Il s’applique tant pour l’exercice du droit à l’information (art. 13 et 14 RGPD), que pour celui du
droit d’accès (art. 15 RGPD), des droits de rectification et d’effacement (art. 16 et 17 RGPD), du
droit à la limitation du traitement (art. 18 RGPD), du droit à la portabilité des données (art. 20
RGPD), du droit d’opposition (art. 21 RGPD), du droit de ne pas être soumis à une décision
individuelle automatisée (art. 22 RGPD), et en ce qui concerne l’obligation de notification du
responsable (art. 19) et enfin, celui du droit à la communication d’une violation de données à
caractère personnel (art. 34).

34
[Link]

32
FICHE Les droits des personnes

b. Le droit d’information (Art 13 et 14 RGPD)

Lorsque les données sont collectées directement auprès de la personne concernée, les
informations suivantes doivent lui être communiquées :

■ Au moment de la collecte des données (Art 13, 1. RGPD) :

• L’identité et coordonnées du responsable de traitement et de son représentant, le cas
échéant, ainsi que du DPO, le cas échéant
• Les finalités et la base légale du traitement
• Si le traitement est fondé sur l’article 6, 1. f) du RGPD, les intérêts légitimes poursuivis
• Les destinataires ou catégories de destinataires, le cas échéant.
• Et, en cas des transferts vers des pays en dehors de l’UE, l’existence ou l’absence de décision
d’adéquation pour ce pays ou la référence aux garanties appropriées et le moyen d’en obtenir
une copie (Cf Fiche n°10)

■ Au moment où les données sont obtenues, des informations complémentaires pour « garantir
un traitement équitable et transparent » (Art 13, 2. RGPD) :
• la durée de conservation ou les critères utilisés pour déterminer cette durée
• l’existence du droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de
portabilité
• l’existence du droit de retirer son consentement lorsque ce dernier est la base légale du
traitement
• l’existence du droit d’introduire une réclamation auprès de l’autorité de contrôle
• des informations sur le point de savoir si la collecte a un caractère règlementaire ou
contractuel ou si elle conditionne la conclusion d’un contrat, si la personne est tenue de
fournir les données et les éventuelles conséquences de la non-fourniture des données.
• L’existence, le cas échant, d’une prise de décision automatisée (notamment profilage, Art
22 RGPD) et des informations sur les logiques de ce traitement automatisé ainsi que sur les
conséquences éventuelles pour la personne
• Les informations relatives à un traitement ultérieur des données fondé sur une autre base
légale, si le responsable prévoit un tel traitement

■ Lorsque les données n’ont pas été collectées directement auprès de la personne concernée,
les informations suivantes doivent lui être communiquées (Art 14 RGPD):
• Toutes les informations mentionnées au 1), excepté les informations relatives aux raisons de
la collecte
• Les catégories de données concernées
• La source initiale des données et une mention indiquant que la source est accessible au
public, le cas échant
• Ces informations sont fournies dans un « délai raisonnable », ne pouvant dépasser 1
mois après l’obtention des données par le responsable de traitement ou à la première
communication avec la personne concernée ou un destinataire tiers.
• Des exceptions existent à la fourniture d’information en cas de collecte indirecte,
notamment lorsque fournir les informations se révèlerait impossible ou exigerait des
efforts disproportionnés, ou encore lorsque les données doivent rester confidentielles,
notamment pour l’application du secret professionnel (Art 14, 5. RGPD).

33
FICHE Les droits des personnes

En pratique

Le site de la CNIL propose des modèles de mentions, c’est à dire des notices d’information à
délivrer aux personnes35.

Ces mentions peuvent être spécifiques à un secteur ou à traitement particulier (par exemple
dans le domaine de la santé où il s’agit de données dites « sensibles »).

A noter tout de même que la CNIL sera très certainement amenée à adapter ces modèles de
mentions proposés sur son site en application du RGPD et de ces nouvelles obligations.

c. Droit d’accès (Art 15 RGPD):

■ La personne dont les données sont collectées doit pouvoir avoir accès à toutes les données
concernées et en obtenir une copie
• Elle doit être informée de la durée de conservation de ces données (si la durée n’est pas fixée,
elle doit être déterminable), de son droit à rectifier les données, de son droit à demander
leur effacement, de son droit à faire une réclamation devant l’Autorité de Contrôle (CNIL),
des garanties particulières en cas de transfert des données vers un pays tiers ainsi que des
éventuels traitements automatiques conduisant à un profilage.

d. Droit de rectification (Art 16 RGPD):

■ La personne a le droit de demander à ce que ses données soient rectifiées ou complétées.

e. Droit d’effacement ou « droit à l’oubli » (Art 17 RGPD):

■ La personne a le droit de demander à ce que ses données soient effacées lorsque :

• Les données ne sont plus nécessaires à la finalité poursuivie
• Le traitement a pour base légale le consentement et
celui-ci a été retiré par la personne
En pratique
• La personne fait exercice de son droit d’opposition prévu
par l’article 21 Lorsque les données ont été rendues
• Le traitement est illicite publiques, c’est notamment une
procédure de déréférencement sur les
• L’effacement des données est prévu par une obligation moteurs de recherche qui devra être mis
légale en place.
• Il s’agit d’un mineur de moins de 16 ans pour qui les
parents ont fourni le consentement en application de A noter que, lorsque la personne
l’article 8 (Cf fiche n°7). concernée souhaite l’effacement de ses
données rendues publiques, mais
• Lorsqueles donnéesontétérenduespubliquesetque qu’elle ne se trouve pas dans l’un des cas
la personne a un droit à l’effacement, le responsable précitées, il est encore possible qu’elle se
de traitement « prend des mesures raisonnables » fonde sur une atteinte à sa vie privée lors
pour informer les autres responsables de traitement d’un recours en justice.
que les données ou tous lien y conduisant doit être
supprimé.

35
[Link]

34
FICHE Les droits des personnes

f. Droit d’opposition à certains traitements (Art 21 RGPD) :

■ La personne a le droit de s’opposer à un traitement de données personnelles:

• lorsque les traitements sont réalisés dans le cadre d’une mission d’intérêt public ou relevant
de l’autorité publique
• lorsque les traitements sont effectués pour les intérêts légitimes du responsable de traitement
(à moins que le responsable ne démontre des motifs légitimes et impérieux de procéder au
traitement)
• lorsque le traitement a pour finalité la prospection et/ou le profilage, notamment la publicité
ciblée.

■ Traitement impliquant des décisions automatisées (Art 22 RGPD) :

• Une personne peut s’opposer à faire l’objet d’une décision individuelle qui l’affecte de
manière significative (notamment produisant des effets juridiques) basée sur un traitement
automatisé (Art 22 RGPD).
• Le RGPD précise que cette disposition s’applique en matière de profilage.
• Ce type de traitement est possible lorsque la personne y a expressément consenti (sur la
notion de consentement explicite, cf Fiche n°7), lorsqu’il est nécessaire à un contrat avec le
responsable de traitement, lorsqu’il est autorisé par le droit de l’Union ou de l’Etat membre
où le responsable est établi et qu’il prévoit les mesures appropriées pour la protection des
droits et libertés des personnes.
En pratique
g. Droit à la portabilité des données (Art 20
RGPD) :
La portabilité des données permet
• Pour les cas de traitement automatisés fondés sur le notamment aux personnes concernées
consentement ou l’exécution d’un contrat, la personne de changer plus facilement de prestataire,
peut demander à ce que ses données lui soient le mécanisme renforçant la concurrence.
transmises et/ou transmises directement par le Les personnes pourront par exemple
responsable de traitement à un tiers lorsque cela est changer de banque, d’assurance,
techniquement possible. Les données doivent être d’opérateurs de téléphonie en
fournies dans un format structuré, couramment utilisé demandant simplement à leur ancien
et lisible par machine. Ce droit est subordonné au fait prestataire de transmettre leurs données
que (i) le traitement soit fondé sur le consentement au nouveau.
ou sur un contrat et que (ii) le traitement est effectué à
l’aide de procédés automatisés. De ce droit découle une exigence
d’interopérabilité pour les données entre
• De ce droit découle une exigence d’interopérabilité pour
le responsable de traitement et le tiers
les données entre le responsable de traitement et le à qui elles sont transmises. Le G29
tiers à qui elles sont transmises. encourage notamment les acteurs à
travailler ensemble sur une série
h. Droit à la limitation du traitement (Art 18 commune de normes et de formats
RGPD): interopérables36

■ le droit pour une personne de demander à ce que les

traitements effectués sur ses données soient limités :
• lorsqu’elle en conteste l’exactitude,

• lorsque le traitement est illicite et que la personne s’oppose à leur effacement,

• lorsque la finalité du traitement a été atteinte mais que la personne a besoin des données
pour l’exercice de ses droits en justice et lors de l’examen d’une demande en opposition de
la personne.

36
G29, Lignes directrices relatives au droit à la portabilité des données, Version révisée et adoptée le 5 avril 2017

35
FICHE Les droits des personnes

Mise en œuvre

■ Le responsable de traitement doit faciliter l’exercice des droits précédemment mentionnés

par les personnes concernées (Art 12, 2. RGPD).
• Lorsqu’elles font une demande au titre de ces droits, le responsable doit leur fournir des
informations sur les mesures prises en conséquence dans les meilleurs délais (Art 12, 3.
RGPD).
• Le RGPD précise qu’une réponse doit intervenir au plus tard dans le mois suivant la demande,
2 mois lorsque la complexité ou le nombre de demandes le justifient.
• Lorsque le responsable de traitement n’accède pas à la requête de la personne, il doit,
toujours dans un délai d’un mois, lui indiquer les motifs de son inaction et la possibilité de
faire une réclamation auprès de l’Autorité de contrôle ainsi que de former un recours
juridictionnel (Art 4 RGPD).

■ L’exercice des droits est gratuit pour les personnes concernées

• Lorsque les demandes sont manifestement infondées ou répétitives, le responsable peut
exiger des frais liés à ces demandes (en les justifiant) ou refuser de donner suite aux demandes
(Art 5 RGPD).

En pratique

Le responsable de traitement doit mettre à disposition des personnes les moyens d’exercer
leurs droits (par le biais de formulaires en ligne ou en dédiant une adresse mail à qui s’adresser).

Les personnes chargées de recevoir les demandes doivent être en mesure de les traiter
rapidement et de juger de leur bien fondé.

Il est conseillé d’adopter des formulaires de réponses types précisant toutes les informations
nécessaires à renvoyer aux personnes

36
FICHE Le transfert de données hors Union Européenne

Cadre juridique

Art 68 à 70 – Transferts de données à caractère personnel vers

des Etats n’appartenant pas à la Communauté européenne

Art 44 à 49 – Transferts de données à caractère personnel vers des

RGPD
pays tiers ou à des organisations internationales

Principe
■ Le règlement permet d’harmoniser les règles de protection des données personnelles au sein
de l’UE. Le niveau de protection est ainsi le même dans chacun des pays membres, y permettant
la libre circulation des données.

■ En revanche, le règlement prévoit que lorsque les données sont transférées vers des pays
tiers, un niveau de protection équivalent des données personnelles doit obligatoirement être
assuré par d’autres mécanismes (Art 44 RGPD).
« Constitue un transfert de données vers un pays tiers toute communication, copie ou déplacement de
données par l’intermédiaire d’un réseau, ou toute communication, copie ou déplacement de ces données
d’un support à un autre, quel que soit le type de ce support, dans la mesure où les données ont vocation à
faire l’objet d’un traitement dans le pays destinataire 37 »

Mise en œuvre
Conditions de la licéité d’un transfert de données hors Union Européenne :
1. Transferts fondés sur une décision d’adéquation (Art 45 RGPD) :

■ Si le pays tiers ou l’organisation internationale a été reconnu par la Commission européenne

comme assurant un niveau adéquat de protection des données :

• Aucune autorisation n’est nécessaire38 : • Les Etats de l’Espace économique européen

sont également considérés comme disposant
• Suisse • Andorre
d’un niveau de protection adéquat.
• Canada • Iles Féroé
• Argentine • Israël • la Norvège
• Guernesey • Uruguay • l’Islande
• Ile de Man • Nouvelle- • Lichtenstein
• Jersey Zélande

37
CNIL, Guide « Transferts de données à caractère personnel vers des pays non membres de l’Union européenne », éd.2008.)
38
[Link]

37
FICHE Le transfert de données hors Union Européenne

Mise en œuvre - suite

■ Le responsable de traitement doit faciliter l’exercice des droits précédemment mentionnés
par les personnes concernées (Art 12, 2. RGPD).
• Lorsqu’elles font une demande au titre de ces droits, le responsable doit leur fournir des
informations sur les mesures prises en conséquence dans les meilleurs délais (Art 12, 3.
RGPD).
• Le RGPD précise qu’une réponse doit intervenir au plus tard dans le mois suivant la demande,
2 mois lorsque la complexité ou le nombre de demandes le justifient.
• Lorsque le responsable de traitement n’accède pas à la requête de la personne, il doit,
toujours dans un délai d’un mois, lui indiquer les motifs de son inaction et la possibilité de
faire une réclamation auprès de l’Autorité de contrôle ainsi que de former un recours
juridictionnel (Art 4 RGPD).

■ L’exercice des droits est gratuit pour les personnes concernées

• Lorsque les demandes sont manifestement infondées ou répétitives, le responsable peut

exiger des frais liés à ces demandes (en les justifiant) ou refuser de donner suite aux demandes
(Art 5 RGPD).

En pratique

Pour vérifier si un pays bénéficie d’une

décision d’adéquation, une carte du monde
interactive sur le site de la CNIL permet de
voir les niveaux de protection des données
personnelles dans le monde avec un lien
vers la décision d’adéquation pour chaque
pays en bénéficiant39

■ Le cas des Etats-Unis : En pratique

• Précédemment, l’accord « Safe Harbor » entre
l’UE et les US encadrait les transferts de données La liste des entreprises américaines certifiées
personnelles. au titre du Privacy Shield est publiée sur le site
• Cet accord ayant été invalidé40 en raison d’une du Département du Commerce américain41.
protection jugée insuffisante des données aux
Etats-Unis, un nouvel accord a été adopté le 12 La liste doit être consultée régulièrement, les
certifications étant renouvelées ou retirées
juillet 2016 par la Commission européenne : le
chaque année42.
Privacy Shield.
• Le Privacy Shield fait encore l’objet de La liste précise également pour quel type de
controverses, mais les entreprises américaines données les entreprises bénéficient de la
qui ont adhéré à ce mécanisme sont par certification (notamment RH ou non-RH).
principe considérées comme assurant un niveau
de protection suffisant.

39
[Link]
40
CJUE, arrêt du 6 octobre 2015, C-362/14
41
[Link]

38
FICHE Le transfert de données hors Union Européenne

Mise en œuvre - suite

2. Transferts vers des pays tiers n’ayant pas bénéficié d’une décision
d’adéquation (Art 46 RGPD) :

Lorsque le pays n’est pas reconnu comme présentant un niveau adéquat de protection par la
Commission européenne, il faut avoir recours à un différent mécanisme assurant des garanties
appropriées, pour qu’un transfert soit licite au regard du RGPD:

■ Par l’utilisation des règles d’entreprise contraignantes (ou « binding corporate rules » ou «
BCR ») (Art 47 RGPD)
En pratique

Les BCR sont des règles de conduites adoptées par un même groupe. Elles permettent d’offrir une
protection adéquate aux données transférées vers des pays tiers à l’Union européenne au sein d’une
même entreprise ou d’un même groupe.

Une fois les BCR d’un groupe adoptées par l’autorité de contrôle, celle-ci peut transférer des données
vers les entités du groupe établies hors UE.

La CNIL propose des trames et guides pour la rédaction de BCR pour les responsables de traitement
et les sous-traitants43.

■ Par des clauses contractuelles types adoptées par la Commission Européenne ou par l’autorité
de contrôle et approuvées par la Commission Européenne

En pratique

Les clauses contractuelles types adoptées par la Commission européenne sont rassemblées sur le
site de la CNIL, en anglais ou français, à appliquer entre deux responsables de traitement dont l’un
est hors UE ou entre un responsable et un sous-traitant44

■ Par l’adoption de codes de conduite ou d’une certification délivrée à l’entité présente dans le
pays tiers.
Ces mécanismes sont des nouveautés apportées par le règlement, qui fixe les conditions d’élaboration et de
validation de tels codes de conduite et certification (Art 40 et 42 RGPD).

En pratique

Les certifications et codes de conduite spécifiques au RGPD devraient apparaître peu de temps
après la mise en application du RGPD (25 mai 2018)

Dans tous les cas mentionnés précédemment, il n’y a pas besoin d’une autorisation particulière
de l’autorité de contrôle pour un transfert des données.

43
[Link]
44
[Link]

39
FICHE Le transfert de données hors Union Européenne

Mise en œuvre - suite

3. Cas d’autorisation nécessaire de l’autorité de contrôle

■ Il est également possible d’avoir recours à des clauses contractuelles ad hoc entre le responsable
de traitement ou le sous-traitant et l’organisme situé dans un pays tiers mais, dans ce cas, il est
nécessaire d’obtenir l’autorisation de l’autorité de contrôle qui vérifie le niveau de protection
établi (Art 46, 3. RGPD).
■ En cas de réalisation d’une AIPD (Cf fiche n°12) qui révèlerait que le transfert hors UE des
données présenterait un risque élevé si le responsable de traitement ne prenait pas de mesures
pour atténuer le risque, il est fait application de l’article 36 du RGPD, prévoyant une consultation
préalable de l’autorité de contrôle.

4. Dérogations en cas de situations particulières (Art 49 RGPD)

■ L’article 49 du règlement prévoit certaines dérogations dans des cas particuliers, qui ne
peuvent être qu’occasionnels et ne peuvent porter sur l’ensemble des données collectées par le
responsable de traitement.

■ Une telle dérogation peut notamment s’appliquer lorsque :

■ la personne concernée a expressément consenti au transfert de ces données vers un
pays tiers (sur la notion de consentement explicite, cf Fiche n°7)
■ après qu’elle ait été « informée des risques que ce transfert pouvait comporter pour elle
en raison de l’absence de décision d’adéquation et de garanties appropriées ». (Art 49.1.a
RGPD).

Conclusion - en pratique

Les opérations de transfert hors UE doivent être anticipées par les responsables de traitement
et des processus doivent être mis en place pour documenter les garanties apportées par le
responsable.

Il est également à noter que les conditions de transfert vers des pays tiers prévus par le
contrat s’appliquent également pour les transferts successifs. C’est à dire que lorsqu’un
responsable de traitement transfère des données vers un pays tiers, l’entité présente dans
ce pays tiers ne peut de nouveau transférer les données sans respecter les niveaux de
protections attachés au règlement.

40
PARTIE 3

Les mesures à
prendre au sein
de l’organisme
traitant des
données
personnelles

41
FICHE

Principe Mise en œuvre

■ Dans la continuité du principe de En pratique
responsabilisation mis en place par le
RGPD, les responsables de traitement
sont amenés à documenter leur De façon concrète, on peut imaginer la politique de protection
politique relative aux données des données personnelles comme un dossier rassemblant
personnelles afin de démontrer leur chaque type de documents permettant à l’organisme d’assurer
conformité : sa conformité et/ou de la démontrer.

« Il importe, en particulier, que le Au titre du principe de transparence, il peut être recommandé

responsabledetraitementsoittenu que cette politique soit rendue publique (accessible depuis le
de mettre en œuvre des mesures site web de l’organisme par exemple).
appropriées et effectives et soit à
même de démontrer la conformité
des activités de traitement avec
le présent règlement, y compris
1. Politique de sécurité des données à
l’efficacité des mesures » caractère personnel (Cf fiche n°14)
(Considérant 74 RGPD)
La politique de sécurité devrait contenir des
informations sur les sujets suivants :
■ Certains documents sont des
obligations expressément prévues ■ Le contrôle des accès aux données
par le RGPD. ■ Les procédures de sauvegardes
Ce sera le cas par exemple, du ■ Les procédures de transferts et leur sécurisation
Registre de traitement dans les cas technique
où il est obligatoire. ■ Les anti-virus, anti-malware utilisés
■ La gestion des vulnérabilités (tests d’intrusion, de
■ Certains documents découlent de forçage, exercices de reprise d’activité … )
l’obligation pour les acteurs d’être en ■ Les mesures employant la cryptographie, le
mesure de démontrer leur conformité chiffrement, la pseudonymisation
Ce sera le cas par exemple, d’une ■ Les sous-traitants
documentation relative aux ■ Les outils d’alerte et/ou de rapport en cas de
informations des personnes violation
concernées et à leur consentement ■ La formation et sensibilisation des personnels à la
dont le responsable de traitement sécurité des données
a la charge de la preuve. ■ Audit de la sécurité

■ Certains documents vont permettre

de renforcer la crédibilité de l’acteur
en matière de protection des données
personnelles
Ce sera par exemple le cas des
labels et certifications obtenus.
La politique donnée personnelle
rassemble tous ces types de
documents

42
FICHE

Mise en œuvre - suite

2. Relations avec les sous-traitants (Cf fiche n°4) :

■ Les relations avec les sous-traitants doivent être documentées afin de démontrer leur conformité
avec le RGPD et afin d’établir clairement le partage de responsabilité quant aux données :

■ Les contrats avec les sous-traitants mentionnant les clauses appropriées à la protection des
données
■ L’information relative aux éventuels certifications, codes de conduites ou labels du sous-
traitant
■ Le sous traitant garde trace des instructions reçues du responsable de traitement sans
lesquelles il ne peut traiter des données
■ Le sous-traitant garde également trace des autorisations écrites du responsable en cas de
recours à un sous-traitant du sous-traitant
■ Les audits des sous-traitants par le responsable

3. Registre de traitement (Cf fiche n°15)

4. Les Analyse d’impact (AIPD) (Cf Fiche n°12)

5. L’Encadrement des transferts de données hors UE (Cf Fiche n°10)

■ En cas de transferts hors UE, le responsable de traitement doit pouvoir démontrer que celui-ci a
été fait dans le respect des dispositions du RGPD et notamment :

■ Le fondement permettant le transfert (décision d’adéquation, Privacy Shield, Binding

Corporate Rules, Clauses contractuelles types, … )
■ L’autorisation de l’Autorité de contrôle dans les cas où elle est nécessaire
■ Le consentement explicite de la personne si celui-ci était requis, ainsi que les informations
qui lui ont été délivrées quant aux risques

6. Désignation d’un DPO (Cf Fiche n°3)

7. Respect des droits des personnes concernées (Cf Fiche n°9)

■ L’organisme traitant des données doit pouvoir prouver qu’il respecte les droits des personnes,
cela passant par la documentation de plusieurs informations :

■ L’information délivrée
■ Les modèles de recueil du consentement et la preuve du consentement,
■ La procédure pour l’exercice des droits

8. Mécanismes attestant de la conformité au RGPD

■ L’application de codes de conduites ou l’obtention de certifications ou de labels permet de

démontrer la conformité au RGPD et est un indicateur de confiance de l’organisme pour les
autorités de contrôles, comme pour les personnes concernées.

43
FICHE

En pratique

Les Labels CNIL45 :

■ La CNIL a été la première autorité de protection des données en Europe à avoir

développé une activité de labellisation, et a déjà élaboré 4 référentiels :
■ Le label formation garantit un haut niveau de qualité en matière de formations
informatique et libertés, qu’elles soient dispensées en présentiel ou en e-learning.
■ Le label coffre-fort numérique atteste d’un service de qualité, respectueux de l’intégrité,
de la disponibilité et de la confidentialité des données qui y sont stockées par les
particuliers ou les professionnels.
■ Le label procédures d’audit informatique et libertés s’applique à la procédure utilisée
pour vérifier que ces traitements sont conformes à la Loi «Informatique et libertés». Le
référentiel décrit les différentes étapes et processus selon lesquels un tel audit doit être
préparé, réalisé et finalisé. Elle comprend également des exigences relatives à l’organisme
réalisant l’audit et aux auditeurs eux-mêmes.
■ Le label gouvernance s’applique à l’ensemble des mesures, règles et bonnes pratiques
permettant la gestion des données à caractère personnel d’un organisme. Les exigences
du label concernent l’organisation interne de la gestion des données personnelles ; la
procédure de vérification de la conformité des traitements à la loi ; la gestion des plaintes
et incidents.
■ Les labels Gouvernance et Formation ont récemment été mis à jour par la CNIL afin
de tenir compte des nouvelles obligations du RGPD46.
■ De plus, les référentiels établis par la CNIL sont véritable outil pour les organismes
afin d’évaluer leur propre mise en conformité.

9. Documentation supplémentaire
Plus généralement, les organismes sont encouragés à mettre en place une documentation
continue et à jour relative à leur « politique données personnelles » :

■ Une charte d’utilisation des données à caractère personnel :

■ La charte peut être à destination des employés amenés à traiter des données personnel ou
à destination des utilisateurs/clients afin de démontrer que leurs données sont utilisées dans
le respect des dispositions légales
■ Des rapports mensuels et bilans annuels sur l’organisation donnée à caractère personnel

■ Procédures de vérification de l’effectivité et de l’efficacité des mesures prises

45
[Link]
46
CNIL, Délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de
procédures de gouvernance tendant à assurer la protection des données et Délibération n° 2017-220 du 13 juillet 2017 portant
modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du
traitement des données à caractère personnel

44
FICHE Les Etudes d’Impact sur la Protection des données

Cadre juridique

RGPD

Principe Mise en œuvre

■ Lorsqu’un traitement est susceptible a. La réalisation obligatoire d’une
d’engendrer un risque élevé pour les AIPD pour certains traitements
droits et libertés des personnes, une
analyse d’impact des opérations de 1. La notion de « risque élevé »
traitement sur la protection des données La réalisation d’une AIPD n’est obligatoire que
à caractère personnel doit être effectuée quand le traitement est «susceptible
afin de déterminer les mesures d’engendrer un risque élevé pour les droits et
appropriées à prendre afin de démontrer libertés des personnes physiques» (Art 35.
que le traitement des données respecte le RGPD).
règlement (Art 35.1 RGPD).
■ Le règlement considère que le traitement est
■ Le G29, futur Comité Européen à la «susceptible d’engendrer un risque élevé » en
Protection des données, a publié en particulier dans les cas suivants (Art 35, 3. RGPD) :
octobre 2017 ses lignes directrices quant
à ces Analyses d’Impact relatives à la ■ l’évaluation systématique et approfondie
Protection des Données (AIPD) . Il définit d’aspects personnels concernant des
l’AIPD47 comme : personnes physiques, qui est fondée sur
un traitement automatisé, y compris le
« un processus dont l’objet est de décrire profilage, et sur la base de laquelle sont
le traitement, d’en évaluer la nécessité prises des décisions affectant la personne
ainsi que la proportionnalité et d’aider à concernée
gérer les risques pour les droits et ■ letraitementàgrandeéchellede«données
libertés des personnes physiques liés sensibles » ou de données à caractère
au traitement de leurs données à personnel relatives à des condamnations
caractère personnel, en les évaluant et pénales et à des infractions
en déterminant les mesures nécessaires
■ la surveillance systématique à grande
pour y faire face. (…) Autrement dit, une
échelle d’une zone accessible au public
AIPD est un processus qui vise à assurer
la conformité aux règles et à pouvoir en
apporter la preuve. »

47
G29, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de détermine si le
traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, telles que modifiées et adoptées en

45
FICHE Les Etudes d’Impact sur la Protection des données

Mise en œuvre - suite

En pratique

■ De façon générale, le CEPD (anciennement G29) recommande de prendre en compte

plusieurs critères pour déterminer si une AIPD est nécessaire48 :
■ Les traitements impliquant une évaluation ou une notation de la personne
■ les prises de décisions automatisées avec effet juridique ou similaire
■ les surveillances systématiques
■ les données sensibles
■ les traitements à grande échelle
■ les croisements ou combinaisons d’ensembles de données
■ traitement concernant des personnes vulnérables (c’est à dire lorsqu’ilexiste un déséquilibre
significatif entre elle et le responsable de traitement)
■ l’utilisation nouvelles solutions ou technologies innovantes
■ les traitements empêchant les personnes d’exercer un droit ou d’accéder aux bénéfices
d’un contrat

■ Enfin, les autorités de contrôle devront établir, publier communiquer au Comité européen de la
protection des données (CEPD) une liste des opérations de traitement nécessitant une AIPD, les
responsables doivent donc surveiller la publication de cette liste afin de s’assurer qu’ils effectuent
toutes les AIPD nécessaires (Art 35, 4. à 6. RGPD).

b. La documentation relative aux risques

■ Dans le registre des traitements (Cf Fiche n°13), le responsable doit pouvoir évaluer le risque
pour la protection des données d’un traitement (Art 30 RGPD).

En pratique

■ Dans le cas de risques élevés, si la décision a été prise de ne pas procéder à un une
AIPD, le G29 recommande de justifier et documenter la décision et d’inclure/rapporter
l’opinion à cet égard du DPO49.

AIPD facultatives — Par déduction, les AIPD sont facultatives dans les autres cas50, notamment
lorsque :
■ Le traitement ne présente pas de risques élevés pour les données
■ Une AIPD similaire existe déjà ou que le traitement a été autorisé avant mai 2018 par l’Autorité
de Contrôle
■ Le traitement figure dans la liste des opérations de traitement qui ne requièrent pas d’AIPD, qui
devra être publiée par l’Autorité de Contrôle

48
G29, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de détermine si le
traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, telles que modifiées et adoptées en
dernier lieu le 4 octobre 2017
49
idem
50
G29, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de détermine si le
traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, telles que modifiées et adoptées en
dernier lieu le 4 octobre 2017

46
FICHE Les Etudes d’Impact sur la Protection des données

Mise en œuvre - suite

Méthodologie de réalisation d’une AIPD — Lorsqu’une AIPD est réalisée, l’article 35 du RGPD
définit les informations que celle-ci doit contenir à minima :
■ «une description systématique des opérations de traitement envisagées et des finalités du
traitement»
■ «une évaluation de la nécessité et de la proportionnalité des opérations de traitement»
■ «une évaluation des risques pour les droits et libertés des personnes concernées»;
■ «les mesures envisagées pour: faire face aux risques et pour apporter la preuve du respect du
règlement».

En pratique — Dans ses lignes directrices, le G29 propose une méthodologie pour la
réalisation des AIPD :

Mesures envisagées pour

faire face aux risques

Source : G29, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD)
et la manière de détermine si le traitement est « susceptible d’engendrer un risque élevé » aux fins du
règlement (UE) 2016/679, telles que modifiées et adoptées en dernier lieu le 4 octobre 2017

Une fois que l’AIPD a été réalisée :

■ Le responsable de traitement a normalement prévu et anticipé les mesures organisationnelles et
sécuritaires nécessaires pour faire face aux risques détectés dans le traitement.
■ Lorsque le responsable du traitement ne parvient pas à identifier des mesures suffisantes pour
réduire les risques à un niveau acceptable (à savoir que les risques résiduels demeurent élevés),
une consultation de l’autorité de contrôle est obligatoire (Art 36 RGPD).
■ A noter qu’il est également possible qu’un Etat membre choisisse de soumettre un type de
traitement à la consultation et/ou à l’autorisation préalable de l’Autorité de contrôle (Art 36, 5.
RGPD).

47
FICHE Les Etudes d’Impact sur la Protection des données

Mise en œuvre - suite

En pratique

■ Le G29 recommande, à titre de bonne pratique, qu’une AIPD fasse l’objet d’un examen
continu et soit régulièrement réévaluée, notamment lorsqu’un des risques identifiés se réalise51.

■ La CNIL a mis à disposition sur son site un logiciel libre PIA (Privacy Impact Assessment)52.

■ Ce logiciel offre plusieurs fonctionnalités permettant de réaliser une AIPD :

« - une base de connaissances contextuelle reposant sur le texte du RGDP, les guides PIA et
le Guide sécurité publiés par la CNIL. Ainsi lors de l’avancée de l’analyse, la base présente
les contenus les plus pertinents par rapport à l’aspect étudié du traitement ;
des outils de visualisation permettant de comprendre en un coup d’œil l’état des risques du
traitement étudié. »

■ Le logiciel est actuellement présenté en version bêta, les opérateurs étant invités à développer
des fonctionnalités répondant à leurs besoins spécifiques pour les repartager ensuite.

■ La CNIL doit livrer une version finale du logiciel courant 2018, avant l’entrée en application
du RGPD.

■ Afin d’aider les acteurs à réaliser leurs AIPD, le site de la Commission européenne propose
des méthodologies spécifiques à certains secteurs/traitements :
Cadre relatif à l’analyse de l’impact sur la vie privée et la protection des données pour les
applications RFID53
Modèle d’analyse d’impact relative à la protection des données pour les réseaux intelligents
et les systèmes de relevés intelligents (modèle d’AIPD) élaboré par le groupe d’experts 2
de la task-force sur les réseaux intelligents de la Commission54
Modèle d’analyse d’impact sur la protection des données des réseaux intelligents et des
systèmes intelligents de mesure55

■ Une norme internationale ISO fournit également des lignes directrices concernant les
méthodologies applicables pour la réalisation d’une AIPD

■ Enfin le G29 fournit une checklist permettant de vérifier qu’une AIPD renseigne toutes les
informations nécessaires57 :

51
G29, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de détermine si le
traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, telles que modifiées et adoptées en
dernier lieu le 4 octobre 2017
52
[Link]
53
[Link]
54
[Link] 29/documentation/opinion-recommendation/files/2013/wp209_fr.pdf
55
[Link]
56
ISO/IEC 29134:2017 : Technologies de l’information -- Techniques de sécurité -- Lignes directrices pour l’évaluation d’impacts sur
la vie privée
57
G29, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de détermine si le
traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, telles que modifiées et adoptées en
dernier lieu le 4 octobre 2017

48
FICHE Les Etudes d’Impact sur la Protection des données

Mise en œuvre - suite

Critères d’acceptabilité d’une AIPD :
Les critères suivants proposés par le G29 peuvent être utilisés par les responsables du traitement
pour déterminer si une AIPD ou une méthodologie d’AIPD considérée est suffisamment complète
aux fins du respect des exigences du RGPD:
■ une description systématique du traitement est fournie [article 35, paragraphe 7, point a)]:
• la nature, la portée, le contexte et les finalités du traitement sont pris en compte (considérant
90);
• les données à caractère personnel concernées, les destinataires et la durée pendant laquelle les
données à caractère personnel seront conservées sont précisées;
• une description fonctionnelle de l’opération de traitement est fournie;
• les actifs sur lesquels reposent les données à caractère personnel (matériels, logiciels, réseaux,
personnes, documents papier ou canaux de transmission papier) sont identifiés; le respect de
codes de conduite approuvés est pris en compte (article35, paragraphe 8);

■ la nécessité et la proportionnalité sont évaluées [article 35, paragraphe 7, point b)]:

• les mesures envisagées pour assurer la conformité au règlement sont déterminées [article 35,
paragraphe 7, point d), et considérant 90], avec prise en compte:
• de mesures contribuant au respect des principes de proportionnalité et de nécessité du
traitement, fondées sur les exigences suivantes:
• finalités déterminées, explicites et légitimes (article 5, paragraphe 1, point b)];
• licéité du traitement (article 6);
• données adéquates, pertinentes et limitées à ce qui est nécessaire [article 5, paragraphe 1,
point c)];
• durée de conservation limitée [article 5, paragraphe 1, point e)];
• de mesures contribuant aux droits des personnes concernées:
• informations fournies à la personne concernée (articles 12, 13 et 14);
• droit d’accès et droit à la portabilité des données (articles 15 et 20);
• droit de rectification et droit à l’effacement (articles 16, 17 et 19);
• droit d’opposition et droit à la limitation du traitement (articles 18, 19 et 21);
• relations avec les sous-traitants (article 28);
• garanties entourant le ou les transferts internationaux (chapitre V);
• consultation préalable (article 36);
■ les risques pour les droits et libertés des personnes concernées sont gérés [article 35,
paragraphe 7, point c)]:
• l’origine, la nature, la particularité et la gravité des risques sont évalués (considérant 84) ou, plus
spécifiquement, pour chaque risque (accès illégitime aux données, modification non désirée
des données, disparition des données) du point de vue des personnes concernées:
• les sources de risques sont prises en compte (considérant 90);
• les impacts potentiels sur les droits et libertés des personnes concernées sont identifiés en
cas d’événements tels qu’un accès illégitime aux données, une modification non désirée de
celles-ci ou leur disparition.
• les menaces qui pourraient conduire à un accès illégitime aux données, à une modification
non désirée de celles-ci ou à leur disparition sont identifiées;
• la probabilité et la gravité sont évaluées (considérant 90);

■ les mesures envisagées pour faire face à ces risques sont déterminées [article 35, paragraphe
7, point d), et considérant 90];
• les parties intéressées sont impliquées:
• l’avis du délégué à la protection des données (DPO) est recueilli (article 35, paragraphe 2);
• le point de vue des personnes concernées ou de leurs représentants est recueilli, le cas
échéant (article 35, paragraphe 9).

49
FICHE Le registre des traitements

Cadre juridique

RGPD

Principe Mise en œuvre

■ Dans la continuité du 1. Le registre, obligatoire pour certains acteurs
principe d’Accountability, La réalisation d’une AIPD n’est obligatoire que quand le
le RGPD impose à certains traitement est «susceptible d’engendrer un risque élevé pour
responsables de traitement et les droits et libertés des personnes physiques» (Art 35. RGPD).
sous-traitants, la tenue d’un
registre de chaque traitement ■ La tenue d’un registre est obligatoire pour les entités comptant
de données personnelles de plus de 250 employés. Cela s’applique tant au responsable de
l’entité (Art 30 RGPD). traitement qu’à son sous-traitant.

■ Ce registre doit être mis à ■ Pour les autres entités, le registre est également obligatoire
jour au fur et à mesure de dans les cas où :
la mise en œuvre de ■ le traitement est susceptible de comporter un risque pour
nouveaux traitements ou de les droits et libertés des personnes concernées,
la modification de traitements ■ il n’est pas occasionnel,
existants et pourra être
demandé pour consultation ■ il porte sur des données dites « particulières » ou relatives
par l’Autorité de Contrôle (Art à des infractions ou condamnations pénales.
30 RGPD). La tenue du registre
■ Le RGPD énumère les informations qui doivent être consignées
et mises à jour dans ce registre :

Le registre du responsable de traitement (Art. 30, 1. RGPD) :

■ l’identité et coordonnées du responsable de traitement,

de son représentant et du DPO, le cas échéant
■ les finalités de chaque traitement
■ les catégories de personnes et de données qui sont traitées
■ lescatégoriesdesdestinataires(notammentlesdestinataires
dans des pays tiers et le cas échéant les documents attestant
des garanties attachées à de tels transferts (Fiche n°8))
■ dans la mesure du possible : les délais de conservation
prévus pour les données
■ dans la mesure du possible : les mesures de sécurité
prévues

50
FICHE Le registre des traitements

Mise en œuvre - suite

Le registre du du sous-traitant (Art 30, 2. RGPD) :

■ l’identité et coordonnées du sous-traitant et du responsable de traitement pour le compte

duquel il agit, du représentant du sous-traitant et du responsable de traitement, et du DPO, le
cas échéant
■ les catégories de personnes et de données qui sont traitées
■ les catégories des destinataires (notamment les destinataires dans des pays tiers et le cas
échéant les documents attestant des garanties attachées à de tels transferts (Fiche n°8))
■ dans la mesure du possible : les mesures de sécurité prévues

En pratique

■ La CNIL a mis en ligne un nouveau modèle de registre simplifié des traitements en

conformité avec le RGPD, téléchargeable au format excel et prêt à être rempli :

Le document est téléchargeable à cette adresse : [Link]

nouveau-modele-de-registre-simplifie

51
FICHE La Sécurité des Données

Cadre juridique

RGPD

Principe Mise en œuvre

■ Le responsable de traitement et le 1. Évaluer le niveau de sécurité approprié
sous-traitant ont une obligation ■ Le RGPD prévoit que les acteurs mettent en place un
générale de sécurité des données, niveau de sécurité proportionnel au niveau de risque que
notamment de manière à garantir leur présente le traitement.
confidentialité et prévenir leur
Le risque dépend notamment de la destruction, de la
divulgation à des personnes non
perte, de l’altération, de la divulgation non autorisée ou de
autorisées :
l’accès non autorisé aux donnés, de manière accidentelle
« Compte tenu de l’état des ou illicite (Art 32, 2. RGPD).
connaissances, des coûts de mise
en œuvre et de la nature, de la En pratique
portée, du contexte et des finalités
du traitement ainsi que des risques, ■ Les entreprises doivent évaluer les risques entrainés
dont le degré de probabilité et de par les traitements de données personnelles et être
gravité varie, pour les droits et les capables de démontrer qu’un niveau de sécurité
libertés des personnes physiques, approprié est garanti.
le responsable du traitement et
le sous-traitant mettent en œuvre ■ Par exemple :
les mesures techniques et
organisationnelles appropriées afin ■ Lorsqu’une AIPD est réalisée, cela signifie en général
de garantir un niveau de sécurité que le niveau de risque du traitement est plus élevé,
le niveau de sécurité devrait donc être supérieur aux
adapté au risque » (Art 32 RGPD).
traitements ne nécessitant pas une AIPD (Cf fiche
■ La sécurité fait également partie n°12).
des principes généraux que le RGPD ■ Lorsque les données sont traitées directement par
impose aux traitements (Art 5, f. RGPD). des personnes physiques, le responsable de
traitement ou le sous-traitant doit démontrer qu’il
opère une gestion des habilitations et un contrôle des
accès. Les employés ayant accès à des données
personnelles doivent également être soumis à une
obligation de confidentialité58.
■ Lorsque le traitement porte sur des catégories
particulières de données, le risque pour les personnes
concernées est considéré comme plus élevé (Cf Fiche
n°8).

58
CNIL, RGPD, Guide du Sous-traitant, édition septembre 2017

52
FICHE La Sécurité des Données

Mise en œuvre - suite

2. Prendre les mesures de sécurité appropriées
■ Parmi les mesures de sécurité à prendre, le RGPD prévoit que doit être mis en place, selon les
besoins (Art 32, 1. RGPD):
■ La pseudonymisation et le chiffrement des données
■ Des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la
résilience constantes des systèmes et des services de traitement
■ Des moyens permettant de rétablir la disponibilité des données à caractère personnel et
l’accès à celle-ci dans délais appropriés en cas d’incident
■ Une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures
de sécurité

En pratique

■ Parmi les mesures à mettre en place, on peut citer les suivantes, à appliquer selon le niveau de
risque :

■ Mettre en place la pseudonymisation des données : une technique permettant que les données
ne puissent plus être attribuées à une personne concernée précise sans avoir à recours à des
informations supplémentaires (Art 4, 5) RGPD).
■ Plusieurs types de pseudonymisation existent, du niveau le plus faible au plus sécurisé : une
table de correspondance secrète, un système cryptographique à clé, la fonction de hachage …
■ Prévoir l’authentification des utilisateurs ; des personnes physiques traitant des données
: notamment authentification forte basée sur les attributs d’une personne (téléphone, badge,
biométrie …)
■ Pour l’authentification par mot de passe, la CNIL a publié une recommandation des mesures
minimales à mettre en œuvre concernant notamment l’établissement, le renouvellement et la
conservation des mots de passe59.
■ Sécuriser les postes de travail (sécuriser le réseau interne à l’entreprise, interdire le branchement
d’USB, de portables inconnus…) et sécuriser les locaux : Accès, habilitations et protection des
serveurs où sont stocker les données
■ Maintenir le système d’information à jour (anticiper la maintenance des logiciels, la mise à jour
des anti-virus…)
■ Mettre en place des procédures de sauvegarde régulières pour anticiper la disparition
involontaire de données et assurer la disponibilité

3. Démontrer la sécurité
Au titre du principe d’Accountability, le responsable de traitement doit pouvoir démontrer
qu’il garantit une sécurité appropriée des données (Art 5, 2. RGPD). Plusieurs possibilités à
combiner s’offrent alors :

■ Une charte informatique au sein de l’entreprise ayant une force contraignante (par exemple en
l’annexant au règlement intérieur), reprenant les bonnes pratiques et obligations en matière de
sécurité et de confidentialité des systèmes d’informations60
■ Établir, documenter et réexaminer régulièrement une politique de contrôle d’accès61 incluant :

59
CNIL, Délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe ; et
[Link]

53
FICHE La Sécurité des Données

Mise en œuvre - suite

■ lesprocéduresàappliquersystématiquementàl’arrivéeainsiqu’audépartouauchangement
d’affectation d’une personne ayant accès aux données à caractère personnel ;
■ les conséquences prévues pour les personnes ayant un accès légitime aux donnés en cas
de non-respect des mesures de sécurité ;
■ les mesures permettant de restreindre et de contrôler l’attribution et l’utilisation des accès
au traitement.
■ Prévoir un système de journalisation (enregistrement dans des « fichiers journaux » ou « logs »)
des activités des utilisateurs, des anomalies et des événements liés à la sécurité
■ Appliquer les standards de sécurité mis en place par des normes et/ou des certifications :
■ Famille ISO/IEC 2700062 : Certifications ISO 27001 (standard de spécification d’un système
de management de la sécurité de l’information (SMSI)) et Code de bonnes pratiques ISO
27002
■ Utiliser des produits (logiciels et solutions SI) certifiés par l’ANSSI (Agence Nationale de la
Sécurité des Systèmes d’information)63
■ Plus généralement, appliquer un code de conduite approuvé (Art 40 RGPD) ou un
mécanisme de certification approuvé (Art 42 RGPD)
■ Effectuer une analyse continue de la sécurité, notamment par la réalisation d’audits réguliers, tel
que le recommande la CNIL64.

4. Gérer la violation des données :

La violation des données :
Violation de la sécurité entrainant, de manière accidentelle ou illicite, la destruction, la perte,
l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées
ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. (Art 4, 12. RGPD)

Notification à l’autorité de contrôle (Art 33 RGPD) :

■ En cas de violation de données personnelles, le responsable de traitement en informe l’autorité

de contrôle dans les meilleurs délais (72 heures maximum et motifs du retard si ce délai est
dépassé), à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et
libertés des personnes physiques. (Art 33, 1. RGPD)
■ L’information délivrée à l’Autorité de contrôle doit comporter (Art 33, 3. RGPD):
■ la nature de la violation, les catégories et le nombre approximatif de personnes concernées
■ les coordonnées du DPO ou d’un autre point de contact
■ les conséquences probables de la violation
■ les mesures prises pour remédier à la violation et pour en atténuer les éventuelles
conséquences négatives
■ Toute violation de données est également documentée en interne par le responsable (Art 33, 5.
RGPD).
■ De même, le sous-traitant doit notifier le responsable de traitement en cas de violation (Art 33,
2. RGPD).

60
CNIL, Guide, La sécurité des données personnelles, édition du 23 janvier 2018
61
Idem
62
[Link] visité le 23/01/2018
63
[Link] visité le 23/01/2018
64
CNIL, Guide, La sécurité des données personnelles, édition du 23 janvier 2018

54
FICHE La Sécurité des Données

Mise en œuvre - suite

Notification à la personne concernée (Art 34 RGPD) :

■ Lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés des
personnes, le responsable lui communique la violation dans les meilleurs délais (Art 34, 1. RGPD).
■ La notification à la personne n’est pas toujours obligatoire mais l’autorité de contrôle peut l’exiger
si elle estime qu’un risque élevé existe pour les personnes (Art 34, 4. RGPD).
■ La communication doit être dans des termes clairs et simples et contenir à minima :
■ les coordonnées du DPO ou d’un autre point de contact
■ les conséquences probables de la violation
■ les mesures prises pour remédier à la violation et pour en atténuer les éventuelles
conséquences négatives
■ La communication de la violation à la personne n’est pas nécessaire lorsque (Art 34, 3. RGPD) :
■ Le responsable a mis en œuvre les mesures de protection appropriées, notamment celles
rendant incompréhensibles les données pour toute personne qui n’est pas autorisée à y avoir
accès (exemple : le Chiffrement)
■ Le responsable a pris des mesures ultérieures garantissant que le risque élevé n’est plus
susceptible de se produire
■ Si la communication exige des efforts disproportionnés, le RGPD prévoit une communication
publique (Art 34, 3. c) RGPD).

En pratique

■ Une procédure de gestion des failles et incidents de sécurité doit être mise en place au sein de
l’organisme (responsable et sous-traitant) traitant de données personnelles.
■ Toute personne ayant connaissance d’une violation doit être dans l’obligation d’en informer le
DPO et/ou le directeur du système d’information.
■ Pour chaque violation, les risques éventuels doivent être analysés et lorsqu’un risque existe, sont
mis en place les processus de notification à la CNIL et aux personnes concernées.
■ Une fois l’incident terminé, il est conseillé de réévaluer les risques de chaque traitement et de
mettre à jour l’AIPD, le cas échéant (Cf Fiche n°12).

Conclusion

■ La CNIL a publié un nouveau guide de sécurité des données personnelles, à jour du RGPD65. Ce
guide recommande toutes les mesures à prendre pour garantir une sécurité appropriée et propose
un tableau permettant à chaque acteur d’évaluer son propre niveau de sécurité :

65
CNIL, Guide, La sécurité des données personnelles, édition du 23 janvier 2018

55
 ÉVALUER LE NIVEAU DE SÉCURITÉ DES DONNÉES
PERSONNELLES DE VOTRE ORGANISME
Avez-vous pensé à ?
FICHES MESURE
Sensibiliser Informez et sensibilisez les personnes manipulant les données
1
les utilisateurs Rédigez une charte informatique et lui donner une force contraignante
Définissez un identifiant (login) unique à chaque utilisateur
Authentifier les Adoptez une politique de mot de passe utilisateur conforme à nos recommandations
2
utilisateurs Obligez l’utilisateur à changer son mot de passe après réinitialisation
Limitez le nombre de tentatives d’accès à un compte
Définissez des profils d’habilitation
3 Gérer les habilitations Supprimez les permissions d’accès obsolètes
Réaliser une revue annuelle des habilitations
Prévoyez un système de journalisation
Tracer les accès Informez les utilisateurs de la mise en place du système de journalisation
4
et gérer les incidents Protégez les équipements de journalisation et les informations journalisées
Prévoyez les procédures pour les notifications de violation de données à caractère personnel
Prévoyez une procédure de verrouillage automatique de session
Sécuriser les postes Utilisez des antivirus régulièrement mis à jour
5
de travail Installez un « pare-feu » (firewall) logiciel
Recueillez l’accord de l’utilisateur avant toute intervention sur son poste
Prévoyez des moyens de chiffrement des équipements mobiles
Sécuriser Faites des sauvegardes ou synchronisations régulières des données
6
l'informatique mobile
Exigez un secret pour le déverrouillage des smartphones
Limitez les flux réseau au strict nécessaire
Protéger le réseau Sécurisez les accès distants des appareils informatiques nomades par VPN
7
informatique interne
Mettez en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
Limitez l’accès aux outils et interfaces d’administration aux seules personnes habilitées
8 Sécuriser les serveurs Installez sans délai les mises à jour critiques
Assurez une disponibilité des données
Utilisez le protocole TLS et vérifiez sa mise en œuvre
Vérifiez qu'aucun mot de passe ou identifiant ne passe dans les url
9 Sécuriser les sites web
Contrôlez que les entrées des utilisateurs correspondent à ce qui est attendu
Mettez un bandeau de consentement pour les cookies non nécessaires au service
Effectuez des sauvegardes régulières
Sauvegarder et prévoir Stockez les supports de sauvegarde dans un endroit sûr
10
la continuité d'activité Prévoyez des moyens de sécurité pour le convoyage des sauvegardes
Prévoyez et testez régulièrement la continuité d'activité
Archiver de manière Mettez en œuvre des modalités d’accès spécifiques aux données archivées
11
sécurisée Détruisez les archives obsolètes de manière sécurisée

Encadrer la maintenance Enregistrez les interventions de maintenance dans une main courante
12 et la destruction Encadrez par un responsable de l’organisme les interventions par des tiers
des données Effacez les données de tout matériel avant sa mise au rebut
Prévoyez une clause spécifique dans les contrats des sous-traitants
13 Gérer la sous-traitance Prévoyez les conditions de restitution et de destruction des données
Assurez-vous de l'effectivité des garanties prévues (audits de sécurité, visites, etc.)
Chiffrez les données avant leur envoi
Sécuriser les échanges Assurez-vous qu'il s'agit du bon destinataire
14
avec d'autres organismes
Transmettez le secret lors d'un envoi distinct et via un canal différent
Restreignez les accès aux locaux au moyen de portes verrouillées
15 Protéger les locaux
Installez des alarmes anti-intrusion et vérifiez-les périodiquement

Encadrer les Proposez des paramètres respectueux de la vie privée aux utilisateurs finaux
16 développements Évitez les zones de commentaires ou encadrez-les strictement
informatiques Testez sur des données fictives ou anonymisées
Utiliser des fonctions Utilisez des algorithmes, des logiciels et des bibliothéques reconnues
17
cryptographiques Conservez les secrets et les clés cryptographiques de manière sécurisée

56
FICHE

Les mesures organisationnelles

I. Mesures organisationnelles pour une mise en conformité
■ Constituer une équipe Données Personnelles

Responsable
juridique
formé au
RGPD

Un point de
contact
"données Resonsable
personnelles" des SI
dans chaque
établissement
DPO et
Responsable
admnistratif

Responsable
Responsable
marketing /
RH
commercial

• Responsable Administratif / Financier :

La direction est en charge d’assurer la gouvernance et le respect des procédures au sein de l’entreprise et
prend en compte les risques liés à la conformité avec le RGPD.

• Responsable des SI (ou Direction des Systèmes d’Information) :

La Direction des services informatiques est amenée à connaître des traitements informatiques de données
personnelles et à garantir la sécurité des systèmes d’information de manière appropriée aux obligations posées
par le RGPD.

• Responsable Direction Marketing / Commerciale :

Le marketing connaît des fichiers clients, des sous-traitants et doit s’assurer que ses processus internes de
traitement de ces données soient conformes au RGPD.

• Responsable RH (Ressources Humaines) :

La direction des ressources humaines connaît de toutes les données personnelles relatives aux employés de
l’entreprise.

• Responsable Juridique :
Le service juridique s’assure que les procédures mises en place respectent le RGPD. Il contrôle la conformité
des contrats passés avec les sous-traitants, avec les clients, les fournisseurs … Le service juridique sera
également en charge des litiges éventuels liés aux données personnelles, en cas de litiges avec les personnes
concernées ou de contrôle par l’Autorité de contrôle.

57
■ Audit des traitements et des procédures internes

1
3
Répertorier 2 4
Déterminer
tous les Déterminer Construire un
quelles sont
fichiers chacun des registre des
les catégories
informatiques traitements traitements
de données
et physiques effectués dans
dans ces (Fiche n°13)
de données ces fichiers
fichiers
personnelles

• Pour chaque traitement, déterminer :

•Existe t'il une finalité propre à chaque traitement ?

La finalité •Si non : suppression des fichiers sans finalité

•Si la base légale est le consentement, est-

La base il valide selon le RGPD (Fiche n°7)?
légale •Si non : Redemander un consentement
valide

La durée de •Prévoir des procédures de

purges et de suppression
conservation (voir logiciels certifiés par
prévue l'ANSSI)

■ Identification des sous-traitants gérant des données personnelles

• Prévoir des avenants avec les sous-traitants conformes au Règlement

• Mise en place de contrôles des procédures des sous-traitants au regard de la conformité au Règlement

■ Identification des transferts des données en dehors de l’UE

• Vérifier s’il existe une décision d’adéquation pour le pays tiers concerné
• Dans le cas contraire, anticiper la mise en place de « BCR » ou l’adoption de code de conduite ou de
certification conforme au Règlement

■ Garantir la sécurité des données

• Vérifier que le niveau de sécurité établi est proportionnel au niveau de risque pour chaque donnée
(solutions de chiffrements, pseudonymisation, gestion des accès…)
• Mettre en place un processus de notification des violations de données

■ Assurer les droits des personnes sur leurs données personnelles

• Gestion des notices d’informations relatives aux traitements à fournir aux personnes concernées
• Mise en place des processus de remonté et traitement des demandes des personnes concernées

58
II. Mesures organisationnelles pour maintenir la conformité

■ Adopter les logiques de privacy by design / privacy by default

• Dès la conception d’un nouveau produit/ service : impliquer le DPO, vérifier si une AIPD est nécessaire ou
non, établir le public ciblé (mineurs, société de l’information, données de santé…)
• Tenir un registre des failles de sécurité, nommer un RSSI (responsable de Sécurité des systèmes
d’information)
1
• Pour les développeurs, la CNIL a publié un guide des bonnes pratiques

■ Le Service juridique, en concertation avec le DPO doit tenir une veille sur les pratiques et
régulations applicables aux données personnelles :

• Évolutions législatives, jurisprudence...

• Interprétations du CEPD
• Recommandations et Avis de la CNIL

■ Identifier si des études d’impact sur la vie privée sont nécessaires

■ Identification des sous-traitants gérant des données personnelles

■ Sensibiliser et former le personnel à la Protection des Données Personnelles

2
• A cet effet, la CNIL a notamment mis en place un MOOC d’initiation au RGPD .

1
• [Link]
2
• [Link]

59